Dernière mise à jour : 29 oct. 2026, 00:00
Déclaration ISO 27018
Nous publions cette liste de tous les sous-traitants ultérieurs tiers susceptibles de traiter vos données personnelles, comme le recommande la norme ISO 27018 (protection des informations personnelles identifiables dans les clouds publics) ; ProcureLabs n’est pas certifiée ISO 27018. Nous vous informerons de toute modification de cette liste au moins 30 jours avant son entrée en vigueur.
Cette page répertorie tous les prestataires de services tiers (sous-traitants ultérieurs) auxquels ProcureLabs Pte. Ltd. fait appel pour traiter des données personnelles pour le compte de ses clients. Nous sélectionnons soigneusement des sous-traitants ultérieurs qui appliquent des normes élevées en matière de sécurité et de confidentialité.
Le traitement par IA effectué par les fournisseurs indiqués ci-dessous est activé par défaut. Un administrateur peut le désactiver pour l’organisation, et chaque utilisateur pour lui-même, dans Paramètres du compte (Paramètres → Compte).
Prepared for a synthetic-only production pilot; not activated. Client-data processing through DocuSeal remains disabled pending whole-workflow validation and the required separate written authorizations.
This service-specific disclosure is currently provided in English.
ProcureLabs signed the DocuSeal EU Data Processing Agreement on 14 October 2026, using the version dated 28 August 2026. It applies to docuseal.eu services; it does not establish coverage for a global DocuSeal account or approval by any client.
Pilot signers’ actual names, email addresses, signatures or initials, signing timestamps, IP addresses and browser/device information may be processed. Fictional agreement contents do not make the signers’ personal data fictional. SMS and optional identity-verification services are outside this pilot.
The vendor agreement provides EU hosting, currently AWS Ireland, but permits identified non-EEA subprocessors and necessary overseas support, maintenance, security and continuity access. This is not an EU-only processing commitment. The complete processing/access-country inventory and onward-transfer assessment remain prerequisites for client use.
DocuSeal’s terms provide at least 14 days’ advance notice of onward-subprocessor changes and breach notification without undue delay, without a fixed hourly maximum. Those vendor terms do not shorten ProcureLabs’ applicable client notice periods or incident-notification deadlines.
The vendor terms provide ordinary deletion within 60 days of the specified termination, expiry, account-closure or written-request trigger, subject to routine backup/log/security retention and legal-claim or fraud/abuse exceptions. A fixed maximum for all retained copies has not been verified. These terms do not extend any shorter client deletion or backup deadline.
Under the vendor agreement, DocuSeal processes agreement and signature data on instructions, but acts as an independent controller for account and usage data. The agreement also permits aggregated, de-identified or anonymized information use. This notice does not assert a blanket no-secondary-use commitment or authorize reuse of client data.
Existing signed client agreements and mandatory legal protections remain unchanged, including any stricter hosting/access restrictions, prior written approval, advance notice, incident reporting, deletion, backup, audit and no-reuse obligations. No service-specific exception or client amendment is adopted by this notice.
Before client activation, ProcureLabs must validate the complete workflow, reconcile vendor terms with each applicable client agreement, verify locations, safeguards, security and retention controls, and obtain the required written instructions and approvals.
OpenAI prend en charge les conversations, les analyses et les évaluations limitées de Decisions pour sélectionner les outils et examiner les éléments probants des achats. Sous réserve de l’autorisation actuelle du client et de la configuration régionale convenue, Decisions reçoit un contexte et des questions minimisés et expurgés pour la finalité autorisée. Les données de l’API OpenAI ne sont utilisées pour entraîner les modèles qu’en cas d’adhésion explicite. Decisions peut conserver l’état chiffré du cache des instructions jusqu’à 24 heures et les journaux habituels de surveillance des abus jusqu’à 30 jours, sous réserve des exceptions applicables en matière de sécurité, de protection ou de droit.
Le traitement par Decisions nécessite des instructions actuelles du client et une autorisation pour la finalité, le compte, le sous-traitant et le transfert vers les États-Unis concernés. La désactivation de l’IA ou le retrait de l’autorisation applicable empêche toute nouvelle demande à Decisions. Les actions ayant des conséquences restent soumises aux garanties requises et à un examen indépendant.
Electronic signing and signature-audit retrieval for fictional pilot agreements with specifically authorized own-mailbox signers only; not approved for client agreements or tender documents.
Données traitées
Emplacement
Accord fournisseur : hébergement dans l’UE (AWS Ireland) ; accès de support depuis l’étranger et sous-traitants ultérieurs identifiés hors EEE autorisés conformément aux conditions du fournisseur
Certifications
État de l’ATD
DPA signéDonnées traitées
Emplacement
Région configurée du compte ; les données de transaction peuvent être traitées dans plusieurs régions
Certifications
État de l’ATD
Statut du DPA pas encore confirméInfrastructure cloud centrale — calcul applicatif (App Runner), registre de conteneurs (ECR), CDN (CloudFront), gestion des clés (KMS) et archivage des journaux d’audit (S3). Amazon Bedrock est actif en tant que route principale vers Claude pour les charges de travail d’IA autorisées ; la disponibilité et le traitement autorisé dépendent des instructions applicables du client.
Données traitées
Emplacement
Calcul applicatif principal : Singapour (ap-southeast-1). Inférence Bedrock active : profils géographiques de l’UE via l’Irlande, avec exécution dans les régions de l’UE incluses dans le profil. L’inférence IA est distincte de l’hébergement à Singapour.
Certifications
État de l’ATD
Statut du DPA pas encore confirméAzure OpenAI est configuré comme route principale pour les conversations GPT et les embeddings de texte autorisés. La conservation standard liée à la surveillance des abus s’applique ; la surveillance modifiée des abus et la conservation nulle des données n’ont pas été approuvées.
Données traitées
Emplacement
Union européenne : ressource Sweden Central ; inférence régionale et dans la zone de données de l’UE. Les conditions de service et d’assistance du fournisseur s’appliquent également.
Certifications
État de l’ATD
Statut du DPA pas encore confirméFonctionnalités optimisées par l’IA (Claude) via l’orchestrateur mult fournisseur — conversation, analyses, analyse des contrats et du sourcing
Données traitées
Emplacement
États-Unis
Certifications
État de l’ATD
Statut du DPA pas encore confirméTraitement de l’IA (Gemini) via l’orchestrateur, analyses du site web (Google Analytics, uniquement avec le consentement aux cookies analytiques) et stockage facultatif des clés gérées par le client (Cloud KMS)
Données traitées
Emplacement
États-Unis
Certifications
État de l’ATD
Statut du DPA pas encore confirméDonnées traitées
Emplacement
États-Unis
Certifications
État de l’ATD
Statut du DPA pas encore confirméDonnées traitées
Emplacement
États-Unis
Certifications
État de l’ATD
Statut du DPA pas encore confirméDonnées traitées
Emplacement
États-Unis
Certifications
État de l’ATD
Statut du DPA pas encore confirméDonnées traitées
Emplacement
États-Unis
Certifications
État de l’ATD
Statut du DPA pas encore confirméFonctionnalités optimisées par l’IA, notamment l’assistance conversationnelle, la génération d’analyses, l’extraction de l’ADN de l’organisation et les jugements encadrés de Decisions pour la sélection des outils et les éléments probants des achats
Données traitées
Emplacement
Région de traitement du compte et du projet : vérification requise avant utilisation
Certifications
État de l’ATD
Statut du DPA pas encore confirméDonnées traitées
Emplacement
Singapour (AWS ap-southeast-1)
Certifications
État de l’ATD
Statut du DPA pas encore confirméNous vous informerons de toute modification de notre liste de sous-traitants ultérieurs :
Vous pouvez vous opposer à tout nouveau sous-traitant ultérieur en nous contactant pendant la période de préavis. Si nous ne pouvons pas répondre à vos préoccupations, vous pouvez résilier votre abonnement sans pénalité.
Nous concluons des accords de traitement des données (ATD) avec les sous-traitants ultérieurs qui traitent des données personnelles ; l’état de l’ATD de chacun est indiqué ci-dessous. Ces accords exigent que :
Certains de nos sous-traitants ultérieurs sont situés en dehors de l’Espace économique européen (EEE). Pour ces transferts, nous nous appuyons sur :
Si vous avez des questions sur nos sous-traitants ultérieurs ou nos pratiques de traitement des données, veuillez contacter :
Délégué à la protection des données : (Singapore PDPA) admin@procure-labs.com
Équipe chargée de la confidentialité : admin@procure-labs.com