隐私政策

1. 数据控制者

ProcureLabs Pte. Ltd.（UEN：202606070W）决定账户管理、账单、安全和营销记录的处理目的。客户组织通常决定采购服务所用个人数据的目的；我们按其适用指示和协议处理。

如有任何数据保护相关咨询，请通过 admin@procure-labs.com 联系我们的数据保护官

我们指定的数据保护官履行新加坡 PDPA 职责。这不确立 GDPR 数据保护官任命或独立性；单独的 GDPR 适用性与独立性评估尚未解决。

2. 我们收集的数据

我们收集和处理以下类别的个人数据：

• 账户信息： 电子邮件地址、全名、组织名称、您接受我们条款的时间，以及您使用 Google 登录时的个人资料图片链接
• 使用数据： 您使用的页面和功能、会话时长以及您的偏好。只有在您接受分析 Cookie 后，才会进行页面浏览跟踪并运行 Google Analytics。
• 采购数据： 您上传的支出数据、供应商信息和其他业务数据
• AI 交互： 与我们的 AI 助手进行的聊天消息和查询
• 技术数据： IP 地址、浏览器类型和设备信息、登录尝试及活跃会话，用于安全和分析

ProcureLabs 无意处理特殊类别的个人数据（例如健康状况、宗教信仰或工会会员资格），我们的《可接受使用政策》也禁止上传此类数据。如果我们的自动检查检测到此类数据，在文本通过我们的 AI 编排器发送给 AI 提供商之前，该数据会从文本中移除；如果 CSV 导入的列标题指明包含此类数据，则导入会被拒绝。这些检查仅识别英文措辞，无法捕获所有内容；检测到的文本在您删除之前仍会存储于您的工作区中。

我们从他人处收到的个人数据

部分个人数据并非直接来自您：

• 来自您的组织：如果您的组织使用单点登录或 SCIM 配置，组织的身份提供商会向我们发送您的姓名、电子邮件地址，以及在已配置的情况下用于确定您角色的群组。管理员也可以改为输入您的电子邮件地址来邀请您。如果您的组织连接了 Microsoft Teams，您使用我们的机器人时，我们会接收您的 Teams 名称和 ID。我们使用这些信息创建并运行您的账户。
• 来自您的组织上传或连接的文件和数据：其中合同、发票、供应商列表和已连接的业务系统中可能包含组织员工及其供应商员工的姓名、工作联系方式和职务，以及签署合同人员的姓名和职务。买方也可以通过输入您的电子邮件地址邀请您加入其供应商门户，同事也可以使用您的姓名和电子邮件地址将您添加进来。我们代表该组织处理这些信息，由该组织决定如何使用这些信息。
• 来自公共登记册和制裁名单，当您的组织使用供应商发现、利益冲突或制裁筛查功能时：公司高管的姓名、职务和任职日期（英国 Companies House 还提供国籍、职业和居住国家/地区信息；以及 OpenCorporates），美国 SEC EDGAR 公共文件中提及您组织某位员工姓名的记录，以及政府制裁名单（OFAC、EU、UN 和 UK）中与某供应商匹配的姓名。我们根据该组织的指示使用这些信息评估供应商，并筛查利益冲突和制裁事项。

3. 处理的法律依据

我们依据以下法律依据处理您的个人数据：

• 履行合同： 按照服务条款中的约定提供我们的服务
• 同意： AI 处理取决于客户指示、适用法律依据、具体目的和服务设置。可选分析需要适用的 Cookie 同意。AI 偏好本身并不授权所有目的、供应商或境外传输。
• 合法利益： 用于安全、防止滥用和改进服务
• 法律义务： 遵守适用的法律法规

4. 与第三方共享数据

我们会与第三方服务提供商共享数据，包括下列服务提供商。包含其所在地的完整列表请参见我们的子处理者页面。

支持服务包括 AWS 托管、Supabase 数据库和认证、Stripe 账单、Sentry 错误监控、Resend 邮件、Inngest 工作流、Upstash 缓存和限流，以及用于业务通信和公司文档的 Microsoft 365 / SharePoint。共享数据取决于功能和配置。服务清单见分处理者页面。

5. 您的权利（GDPR）

根据《通用数据保护条例》（GDPR），您享有以下权利：

适用 GDPR 时，法律要求及时回应，且在收到请求后一个日历月内答复。复杂程度或请求数量可能需要最多再延长两个月；延期必须在首月内通知并说明理由。其他适用法律可能有不同要求。

没有有效账户或订阅也可通过电子邮件行使适用权利。我们可能要求适度身份验证。对于客户控制的数据，我们协助客户控制者。您可向新加坡 PDPC 或适用 GDPR 时的主管监管机构投诉。

6. 数据保留

我们在以下期限内保留您的数据：

• 保留期限遵循适用的数据类别、客户指示、法律保全要求和提供商条款。聊天历史、衍生内容、审计记录与提供商日志各有独立的保留条件。删除请求按数据处理协议和适用法律处理。

7. 数据安全

我们实施行业标准的安全措施来保护您的数据：

• HTTPS 保护传输中的数据，托管服务通过各服务的密钥管理提供静态加密。租户访问使用限定权限及适用的数据库行级策略。多因素认证适用于支持的供应商账户及特定特权操作。安全记录、覆盖范围和保留期限取决于服务；客户管理密钥需另行约定并配置。
• SOC 2 Type II 准备计划正在进行中；我们的审计尚未开始，目前没有已完成的 Type II 报告。

如果发生数据泄露

如果数据泄露影响了由我们作为控制者负责的个人数据，且可能使您面临高风险或造成重大损害，我们会在不无故延迟的情况下通知您。我们会在评估认定数据泄露必须通知后 3 个日历日内通知新加坡个人数据保护委员会；如适用 GDPR，则会在知悉数据泄露后的 72 小时内通知主管监管机构。如果数据泄露影响了我们代表您的组织处理的数据，我们会在 72 小时内通知您的组织，由其决定如何通知您。

8. Cookie

我们将 Cookie 和类似技术用于：

• 必要功能： 身份验证和安全（必需）
• 分析： 了解使用模式（可选）
• 偏好设置： 记住您的设置，例如语言

您可以随时通过网站页脚中的“Cookie 偏好设置”或“设置 → 账户”更改 Cookie 偏好。 有关 Cookie 的详细列表，请参见我们的Cookie 政策。

9. 国际传输

我们的托管记录将新加坡列为主要地点；应用和数据库服务的实际地点仍需核实。部分供应商可能在其他国家（包括美国）处理数据；存储在新加坡不代表所有处理都在新加坡。传输保障取决于接收方、处理及适用合同或充分性安排。详情请咨询隐私联系人；不承诺欧洲数据驻留选项。

10. 自动化决策（GDPR 第 22 条）

ProcureLabs 使用自动化处理来支持采购决策，包括：

• 交易完整性： 对发票和交易进行自动评分，以识别潜在异常（例如重复付款、拆分采购、虚假供应商）
• 供应商风险评分： 基于财务、合规和绩效数据进行自动化综合风险评估
• 合规标记： 自动识别潜在的监管或政策违规行为

您关于自动化决策的权利：

我们会保留一份关于 AI 功能和自动化决策的书面数据保护影响评估，至少每年审核一次，并在其发生重大变化时进行审核。

11. 年龄限制

ProcureLabs 是一个企业对企业的企业级平台。我们的服务不面向 18 岁以下个人，也不会在明知的情况下收集其个人数据。如果您未满 18 岁，则不得使用本服务。任何注册用户都必须确认其年龄已满 18 岁；在获得该确认之前，我们不会创建账户。如果您认为未成年人向我们提供了个人数据，请通过 admin@procure-labs.com 联系我们。

12. 本政策的更新

我们可能会不时更新本隐私政策。更新时，我们会在本页面发布新版本，并更改顶部的“最后更新”日期。您在此类更新后继续使用服务，即表示接受修订后的政策。