Integritetspolicy

1. Personuppgiftsansvarig

ProcureLabs Pte. Ltd. (UEN: 202606070W) bestämmer ändamålen för kontohantering, fakturering, säkerhet och marknadsföring. Kundorganisationer bestämmer normalt ändamålen för personuppgifter inom inköp; vi behandlar dem enligt gällande instruktioner och avtal.

För frågor om dataskydd, kontakta vårt dataskyddsombud på admin@procure-labs.com

Vårt utsedda dataskyddsombud ansvarar enligt Singapores PDPA. Det fastställer ingen GDPR-utnämning eller oberoende; den separata bedömningen av tillämplighet och oberoende är ännu olöst.

2. Uppgifter vi samlar in

Vi samlar in och behandlar följande kategorier av personuppgifter:

• Kontoinformation: E-postadress, fullständigt namn, organisationens namn, när du godkände våra villkor samt en länk till din profilbild om du loggar in med Google
• Användningsdata: Sidor och funktioner du använder, sessionens längd och dina inställningar. Sidvisningsspårning och Google Analytics körs endast om du godkänner analyscookies.
• Inköpsdata: Utgiftsdata, leverantörsinformation och andra företagsdata som du laddar upp
• AI-interaktioner: Chattmeddelanden och frågor till våra AI-assistenter
• Tekniska data: IP-adress, webbläsartyp och enhetsinformation, inloggningsförsök och aktiva sessioner, som används för säkerhet och analys

ProcureLabs avser inte att behandla särskilda kategorier av personuppgifter (såsom hälsa, religiös övertygelse eller fackligt medlemskap), och vår policy för godtagbar användning förbjuder uppladdning av sådana uppgifter. När våra automatiserade kontroller upptäcker sådana uppgifter tas de bort från texten innan texten skickas till AI-leverantörer via vår AI-orkestrator, och en CSV-import vars kolumnrubriker anger sådana uppgifter avvisas. Kontrollerna känner endast igen engelska formuleringar och upptäcker inte allt, och text som de upptäcker förblir lagrad i din arbetsyta tills du raderar den.

Personuppgifter vi får från andra

Vissa personuppgifter kommer inte direkt från dig:

• Från din organisation: om den använder single sign-on eller SCIM-provisionering skickar dess identitetsleverantör ditt namn, din e-postadress och, om det har konfigurerats, de grupper som fastställer din roll till oss. En administratör kan i stället ange din e-postadress för att bjuda in dig. Om din organisation ansluter Microsoft Teams får vi ditt Teams-namn och ditt ID när du använder vår bot. Vi använder detta för att skapa och driva ditt konto.
• Från de dokument och data som din organisation laddar upp eller ansluter: namn, företagsrelaterade kontaktuppgifter och befattningar för dess anställda och leverantörernas anställda, samt namn och befattningar för personer som undertecknar avtal, i avtal, fakturor, leverantörslistor och anslutna affärssystem. En köpare kan också bjuda in dig till sin leverantörsportal genom att ange din e-postadress, och en kollega kan lägga till dig med ditt namn och din e-postadress. Vi behandlar detta för den organisationens räkning, och organisationen beslutar hur det används.
• Från offentliga register och sanktionslistor, när din organisation använder leverantörsupptäckt, screening av intressekonflikter eller sanktionsscreening: företagsfunktionärers namn, roller och utnämningsdatum (UK Companies House, som även anger nationalitet, yrke och bosättningsland, samt OpenCorporates), offentliga handlingar från US SEC EDGAR som nämner namnet på en av din organisations medarbetare, samt namn på statliga sanktionslistor (OFAC, EU, UN och UK) som matchar en leverantör. Vi använder detta för att bedöma leverantörer och screena för intressekonflikter och sanktioner, på den organisationens instruktioner.

3. Rättslig grund för behandling

Vi behandlar dina personuppgifter med stöd av följande rättsliga grunder:

• Fullgörande av avtal: För att tillhandahålla våra tjänster enligt överenskommelsen i våra användarvillkor
• Samtycke: AI-behandling beror på kundinstruktioner, rättslig grund, ändamål och tjänsteinställningar. Valfri analys kräver tillämpligt cookiesamtycke. En AI-inställning ger inte tillstånd för varje ändamål, leverantör eller utlandsöverföring.
• Berättigat intresse: För säkerhet, förebyggande av missbruk och förbättring av tjänsten
• Rättslig förpliktelse: För att följa tillämpliga lagar och bestämmelser

4. Delning av data med tredje part

Vi delar data med tredjepartsleverantörer, inklusive de nedan. Den fullständiga listan, med platser, finns på vår sida om underbiträden.

Stödtjänster omfattar AWS-värdtjänster, Supabase-databas och autentisering, Stripe-fakturering, Sentry-felövervakning, Resend-e-post, Inngest-arbetsflöden, Upstash-cache och frekvensgränser samt Microsoft 365 / SharePoint för företagskorrespondens och dokument. Delade uppgifter beror på funktion och konfiguration. Se sidan om underbiträden.

5. Dina rättigheter (GDPR)

Enligt den allmänna dataskyddsförordningen (GDPR) har du följande rättigheter:

När GDPR gäller kräver lagen svar utan onödigt dröjsmål inom en kalendermånad från mottagandet. Komplexitet eller antal begäranden kan motivera högst två ytterligare månader; förlängningen ska meddelas med skäl under första månaden. Andra lagar kan ha andra krav.

Du kan utöva tillämpliga rättigheter via e-post utan aktivt konto eller abonnemang. Proportionerlig identitetskontroll kan behövas. Vi hjälper kundens personuppgiftsansvariga. Klagomål kan lämnas till Singapores PDPC eller, när GDPR gäller, behörig tillsynsmyndighet.

6. Lagring av data

Vi behåller dina data under följande perioder:

• Lagringen följer tillämplig datakategori, kundinstruktioner, rättsliga bevarandekrav och leverantörsvillkor. Chatthistorik, härlett innehåll, revisionsuppgifter och leverantörsloggar har separata lagringsvillkor. Raderingsbegäranden hanteras enligt personuppgiftsbiträdesavtalet och tillämplig lag.

7. Datasäkerhet

Vi tillämpar branschstandardiserade säkerhetsåtgärder för att skydda dina data:

• HTTPS skyddar överföring och värdtjänster krypterar lagrade uppgifter med tjänstespecifik nyckelhantering. Åtkomst använder avgränsade behörigheter och vid behov databasregler per rad. Flerfaktorsautentisering gäller stödda konton och vissa privilegierade åtgärder. Loggar, täckning och lagring beror på tjänsten; kundhanterade nycklar kräver separat avtal och konfiguration.
• Förberedelseprogrammet för SOC 2 Type II pågår; vår egen revision har ännu inte inletts och ingen färdig Type II-rapport finns tillgänglig.

Om det sker en dataincident

Om en incident påverkar personuppgifter som vi är personuppgiftsansvariga för och sannolikt innebär en hög risk för dig eller orsakar dig betydande skada, informerar vi dig utan onödigt dröjsmål. Vi meddelar Singapores Personal Data Protection Commission inom 3 kalenderdagar efter att vi har bedömt att en incident måste anmälas och, när GDPR gäller, den behöriga tillsynsmyndigheten inom 72 timmar från det att vi blev medvetna om incidenten. Om incidenten påverkar data som vi behandlar för din organisation informerar vi organisationen inom 72 timmar, och den beslutar hur du ska informeras.

8. Cookies

Vi använder cookies och liknande teknik för:

• Nödvändiga: Autentisering och säkerhet (krävs)
• Analys: Förstå användningsmönster (valfritt)
• Inställningar: Komma ihåg dina inställningar, till exempel ditt språk

Du kan när som helst ändra dina cookieinställningar med ”Cookieinställningar” i sidfoten eller i Inställningar → Konto. För en detaljerad lista över cookies, se vår Cookiepolicy.

9. Internationella överföringar

Våra hostinguppgifter anger Singapore som primär plats; de faktiska platserna för applikations- och databastjänsterna återstår att verifiera. Leverantörer kan behandla uppgifter på andra platser, även USA; lagring i Singapore innebär inte enbart lokal behandling. Överföringsskydd beror på mottagare, behandling och tillämpliga avtal eller adekvansbeslut. Kontakta integritetskontakten; inget europeiskt datalagringsalternativ utlovas.

10. Automatiserat beslutsfattande (GDPR artikel 22)

ProcureLabs använder automatiserad behandling för att stödja inköpsbeslut, inklusive:

• Transaktionsintegritet: Automatiserad poängsättning av fakturor och transaktioner för möjliga oegentligheter (t.ex. dubbla betalningar, uppdelade inköp, fiktiva leverantörer)
• Poängsättning av leverantörsrisk: Automatiserade sammansatta riskbedömningar baserade på finansiella data, efterlevnadsdata och resultatdata
• Efterlevnadsflagging: Automatiserad identifiering av möjliga överträdelser av regelverk eller policyer

Dina rättigheter när det gäller automatiserade beslut:

Vi upprätthåller en skriftlig konsekvensbedömning avseende dataskydd för våra AI-funktioner och automatiserade beslut. Den granskas minst årligen och varje gång de ändras väsentligt.

11. Åldersbegränsning

ProcureLabs är en företagsplattform för företag. Våra tjänster riktar sig inte till, och vi samlar inte medvetet in personuppgifter från, personer under 18 år. Om du är under 18 år får du inte använda denna tjänst. Alla som registrerar sig måste bekräfta att de är 18 år eller äldre, och vi skapar inte kontot utan denna bekräftelse. Om du tror att en minderårig har lämnat personuppgifter till oss, kontakta oss på admin@procure-labs.com.

12. Uppdateringar av denna policy

Vi kan uppdatera denna integritetspolicy från tid till annan. När vi gör det publicerar vi den nya versionen på denna sida och ändrar datumet ”Senast uppdaterad” högst upp. Om du fortsätter att använda tjänsten efter sådana uppdateringar innebär det att du godkänner den reviderade policyn.