Dodatek o zpracování dat (DPA) — Sustalium

1. Definice

Pojmy nedefinované v této DPA mají význam stanovený v MSA.

• „Použitelný zákon ochrana dat“ znamená GDPR (EU 2016/679), nizozemský zákon o implementaci GDPR a jakékoli další platné zákony na ochranu soukromí.
• „Osobní údaje“ znamenají jakékoli informace týkající se identifikované nebo identifikovatelné fyzické osoby zpracovávané společností Sustalium jménem zákazníka.
• „Služby“ znamenají platformu pro informace o dodržování předpisů Sustalium a související služby.
• „Dílčí zpracovatel“ znamená jakoukoli třetí stranu, kterou společnost Sustalium zaměstnává ke zpracování osobních údajů.
• „SCC“ znamená standardní smluvní doložky EU (2021/914).

2. Role stran

• Zákazník je správcem údajů.
• Sustalium je zpracovatel dat.
• Sustalium bude zpracovávat osobní údaje pouze na základě zdokumentovaných pokynů od zákazníka.

3. Povaha, účel a rozsah zpracování

Sustalium zpracovává Osobní údaje výhradně pro:

• Poskytování přístupu k platformě Sustalium
• Vytváření, ověřování a publikování digitálních prostředků shody
• Správa uživatelských účtů a ověřování
• Udržování auditních záznamů
• Poskytování zákaznické podpory
• Zajištění bezpečnosti a odolnosti platformy

Sustalium je <strong>odvětvově nezávislý</strong> a zpracovává pouze <strong>osobní údaje související s obchodní činností</strong>.

4. Kategorie osobních údajů

Jak poskytuje zákazník nebo jeho uživatelé:

• Jména zaměstnanců
• Pracovní e-mailové adresy
• Role a pracovní pozice
• Kontaktní údaje dodavatele
• Identifikátory uživatelských účtů
• IP adresy a metadata zařízení
• Dokumenty o shodě nahrané uživateli (mohou obsahovat osobní údaje)
• Protokoly auditu a časová razítka

Sustalium <strong>nezpracovává</strong> data zvláštní kategorie.

5. Kategorie subjektů údajů

• Zaměstnanci zákazníků
• Zaměstnanci dodavatele
• Dodavatelé
• Uživatelé platformy
• Auditoři (pokud jim byl udělen přístup)

6. Povinnosti zpracovatele

Sustalium musí:

7. Dílčí zpracovatelé

Zákazník opravňuje společnost Sustalium k používání dílčích zpracovatelů uvedených v příloze III.

• Zajistěte, aby dílčí zpracovatelé byli vázáni ekvivalentními povinnostmi ochrana dat
• Informujte zákazníka o jakýchkoli zamýšlených změnách
• Zůstaňte plně odpovědní za akce dílčího zpracovatele

8. Mezinárodní transfery

Sustalium primarily stores data in EU GCP regions. However, certain Sub‑processors (e.g., Auth0, Microsoft SharePoint) may involve non‑EU data transfers.

• Platí 2021 Standardní smluvní doložky EU (SCC), které jsou začleněny jako příloha IV.
• Sustalium implementuje doplňková opatření (šifrování, MFA, přísná kontrola přístupu).

9. Bezpečnostní incidenty

Sustalium informuje zákazníka bez zbytečného odkladu poté, co se dozví o porušení ochrany osobních údajů.

• Povaha porušení
• Kategorie dotčených dat
• Pravděpodobné důsledky
• Přijatá nebo navržená opatření

10. Audity

Zákazník může zkontrolovat soulad Sustalium:

• Jednou za rok
• S 30denní výpovědní lhůtou
• Bez narušení provozu
• Prostřednictvím přezkoumání dokumentace nebo nezávislého auditora

11. Odpovědnost

Odpovědnost se řídí MSA.

12. Rozhodné právo

Tento DPA se řídí nizozemským právem a spory budou předloženy příslušným soudům v Amsterdamu, Nizozemsko.