Anexo de procesamiento de datos (DPA) — Sustalium

1. Definiciones

Los términos no definidos en este DPA tienen el significado establecido en la MSA.

• “Ley protección de datos aplicable” significa el RGPD (EU 2016/679), la Ley holandesa de implementación del RGPD y cualquier otra ley de privacidad aplicable.
• “Datos personales” significa cualquier información relacionada con una persona física identificada o identificable procesada por Sustalium en nombre del Cliente.
• “Servicios” significa la plataforma de inteligencia de cumplimiento Sustalium y los servicios relacionados.
• “Subprocesador” significa cualquier tercero contratado por Sustalium para procesar Datos personales.
• “SCC” significa las Cláusulas Contractuales Estándar EU (2021/914).

2. Funciones de las partes

• El Cliente es el Responsable del Tratamiento.
• Sustalium es el Encargado del Tratamiento.
• Sustalium procesará Datos personales solo siguiendo instrucciones documentadas del Cliente.

3. Naturaleza, finalidad y alcance del tratamiento

Sustalium procesa Datos personales únicamente para:

• Proporcionar acceso a la plataforma Sustalium
• Crear, verificar y publicar activos de cumplimiento digital
• Gestión de cuentas de usuario y autenticación
• Mantener pistas de auditoría
• Proporcionar soporte al cliente
• Garantizar la seguridad y resiliencia de la plataforma

Sustalium es <strong>independiente del sector</strong> y procesa únicamente <strong>datos personales de contexto empresarial</strong>.

4. Categorías de datos personales

Según lo proporcionado por el Cliente o sus usuarios:

• Nombres de empleados
• Direcciones de correo electrónico del trabajo
• Roles y títulos de trabajo
• Datos de contacto del proveedor
• Identificadores de cuentas de usuario
• Direcciones IP y metadatos del dispositivo
• Documentos de cumplimiento cargados por los usuarios (pueden contener datos personales)
• Registros de auditoría y marcas de tiempo

Sustalium <strong>no</strong> procesa datos de categorías especiales.

5. Categorías de interesados

• Empleados del cliente
• Empleados de proveedores
• Contratistas
• Usuarios de la plataforma
• Auditores (si se le concede acceso)

6. Obligaciones del procesador

Sustalium deberá:

7. Subprocesadores

El Cliente autoriza a Sustalium a utilizar los Subprocesadores enumerados en el Anexo III.

• Garantizar que los subprocesadores estén sujetos a obligaciones protección de datos equivalentes.
• Notificar al Cliente sobre cualquier cambio previsto
• Seguir siendo totalmente responsable de las acciones del subencargado

8. Transferencias Internacionales

Sustalium primarily stores data in EU GCP regions. However, certain Sub‑processors (e.g., Auth0, Microsoft SharePoint) may involve non‑EU data transfers.

• Se aplican las Cláusulas Contractuales Tipo (CEC) EU 2021 y se incorporan como Anexo IV.
• Sustalium implementa medidas complementarias (cifrado, MFA, estricto control de acceso).

9. Incidentes de seguridad

Sustalium notificará al Cliente sin demoras indebidas después de tener conocimiento de una Violación de Datos Personales.

• Naturaleza de la infracción
• Categorías de datos afectados
• Posibles consecuencias
• Medidas adoptadas o propuestas

10. Auditorías

El cliente puede auditar el cumplimiento de Sustalium:

• Una vez al año
• Con 30 días de antelación
• Sin interrumpir las operaciones
• A través de revisión de documentación o auditor independiente

11. Responsabilidad

La responsabilidad se rige por la MSA.

12. Ley aplicable

Este DPA se rige por la ley holandesa y las disputas se presentarán a los tribunales competentes de Ámsterdam, Países Bajos.