Допълнение за обработка на данни (DPA) — Sustalium

1. Дефиниции

Термините, които не са дефинирани в този DPA, имат значението, посочено в MSA.

• „Приложим закон защита на данните“ означава GDPR (EU 2016/679), холандски Закон за прилагане на GDPR и всички други приложими закони за поверителност.
• „Лични данни“ означава всяка информация, свързана с идентифицирано или идентифицируемо физическо лице, обработвана от Sustalium от името на Клиента.
• „Услуги“ означава платформата за разузнаване на съответствието на Sustalium и свързаните с нея услуги.
• „Подобработващ“ означава всяка трета страна, ангажирана от Sustalium да обработва Лични данни.
• „СКК“ означава Стандартните договорни клаузи EU (2021/914).

2. Роли на страните

• Клиентът е администратор на данни.
• Sustalium е Обработващият данни.
• Sustalium ще обработва Лични данни само по документирани инструкции от Клиента.

3. Естество, цел и обхват на обработката

Sustalium обработва лични данни единствено за:

• Предоставяне на достъп до платформата Sustalium
• Създаване, проверка и публикуване на цифрови активи за съответствие
• Управление на потребителски акаунти и удостоверяване
• Поддържане на одитни пътеки
• Предоставяне на поддръжка на клиенти
• Гарантиране на сигурност и устойчивост на платформата

Sustalium е <strong>индустриално агностичен</strong> и обработва само <strong>лични данни в бизнес контекст</strong>.

4. Категории лични данни

Както е предоставено от Клиента или неговите потребители:

• Имената на служителите
• Служебни имейл адреси
• Роли и длъжности
• Данни за връзка с доставчика
• Идентификатори на потребителски акаунти
• IP адреси и метаданни на устройството
• Документи за съответствие, качени от потребители (може да съдържат лични данни)
• Одитни регистрационни файлове и времеви клейма

Sustalium <strong>не</strong> обработва данни за специални категории.

5. Категории субекти на данни

• Служители на клиента
• Служители на доставчика
• Изпълнители
• Потребители на платформата
• Одитори (ако е предоставен достъп)

6. Задължения на процесора

Sustalium трябва:

7. Под-процесори

Клиентът упълномощава Sustalium да използва под-процесорите, изброени в Приложение III.

• Уверете се, че под-процесорите са обвързани от еквивалентни защита на данните задължения
• Уведомете Клиента за планираните промени
• Остават изцяло отговорни за действията на подпроцесора

8. Международни трансфери

Sustalium primarily stores data in EU GCP regions. However, certain Sub‑processors (e.g., Auth0, Microsoft SharePoint) may involve non‑EU data transfers.

• Прилагат се 2021 EU стандартни договорни клаузи (SCC) и са включени като приложение IV.
• Sustalium прилага допълнителни мерки (криптиране, MFA, строг контрол на достъпа).

9. Инциденти със сигурността

Sustalium ще уведоми Клиента без неоправдано забавяне след като разбере за нарушение на сигурността на личните данни.

• Естество на нарушението
• Категории на засегнатите данни
• Вероятни последствия
• Предприети или предложени мерки

10. Одити

Клиентът може да провери съответствието на Sustalium:

• Веднъж годишно
• С 30 дни предизвестие
• Без да прекъсва операциите
• Чрез преглед на документацията или независим одитор

11. Отговорност

Отговорността се урежда от MSA.

12. Приложим закон

Това DPA се урежда от нидерландското законодателство и споровете се отнасят до компетентните съдилища в Амстердам, Холандия.