Databehandlingstillæg (DPA) — Sustalium

1. Definitioner

Udtryk, der ikke er defineret i denne DPA, har den betydning, der er angivet i MSA.

• "Gældende databeskyttelse-lov" betyder GDPR (EU 2016/679), den hollandske GDPR-implementeringslov og enhver anden gældende privatlivslovgivning.
• "Personlige data" betyder enhver information vedrørende en identificeret eller identificerbar fysisk person, der behandles af Sustalium på vegne af kunden.
• "Tjenester" betyder Sustalium compliance-efterretningsplatformen og relaterede tjenester.
• "Underbehandler" betyder enhver tredjepart, der er engageret af Sustalium til at behandle personoplysninger.
• "SCC'er" betyder EU-standardkontraktbestemmelserne (2021/914).

2. Parternes roller

• Kunden er den dataansvarlige.
• Sustalium er databehandleren.
• Sustalium vil behandle personoplysninger kun efter dokumenterede instruktioner fra kunden.

3. Behandlingens art, formål og omfang

Sustalium behandler udelukkende personoplysninger til:

• Giver adgang til Sustalium platformen
• Oprettelse, verificering og publicering af digitale overholdelsesaktiver
• Håndtering af brugerkonti og godkendelse
• Vedligeholdelse af revisionsspor
• Ydelse af kundesupport
• Sikring af platformsikkerhed og robusthed

Sustalium er <strong>industriagnostisk</strong> og behandler kun <strong>personlige data i forretningssammenhæng</strong>.

4. Kategorier af personlige data

Som angivet af kunden eller dennes brugere:

• Medarbejdernavne
• Arbejds mailadresser
• Roller og stillingsbetegnelser
• Leverandørens kontaktoplysninger
• Brugerkonto-id'er
• IP-adresser og enhedsmetadata
• Overholdelsesdokumenter uploadet af brugere (kan indeholde personlige data)
• Revisionslogfiler og tidsstempler

Sustalium behandler <strong>ikke</strong> specialkategoridata.

5. Kategorier af registrerede

• Kunde medarbejdere
• Leverandør medarbejdere
• Entreprenører
• Platformbrugere
• Revisorer (hvis givet adgang)

6. Processorens forpligtelser

Sustalium skal:

7. Underbehandlere

Kunden autoriserer Sustalium til at bruge de underbehandlere, der er anført i bilag III.

• Sørg for, at underdatabehandlere er bundet af tilsvarende databeskyttelse-forpligtelser
• Underret kunden om eventuelle påtænkte ændringer
• Forbliv fuldt ud ansvarlig for underbehandlerens handlinger

8. Internationale overførsler

Sustalium primarily stores data in EU GCP regions. However, certain Sub‑processors (e.g., Auth0, Microsoft SharePoint) may involve non‑EU data transfers.

• 2021 EU Standard Contractual Clauses (SCC'er) gælder og er indarbejdet som bilag IV.
• Sustalium implementerer supplerende foranstaltninger (kryptering, MFA, streng adgangskontrol).

9. Sikkerhedshændelser

Sustalium vil underrette Kunden uden unødig forsinkelse efter at være blevet opmærksom på et brud på persondatasikkerheden.

• Overtrædelsens art
• Kategorier af berørte data
• Sandsynlige konsekvenser
• Foranstaltninger, der er truffet eller foreslået

10. Revisioner

Kunden kan revidere Sustaliums overholdelse:

• En gang om året
• Med 30 dages varsel
• Uden at forstyrre driften
• Via dokumentationsgennemgang eller uafhængig revisor

11. Ansvar

Ansvar er styret af MSA.

12. Gældende lov

Denne DPA er underlagt hollandsk lov, og tvister skal forelægges de kompetente domstole i Amsterdam, Holland.