Data Processing Addendum (DPA) – Sustalium

Vain englanniksi: Tämä sivu on saatavilla vain englanniksi. Kysymyksiin vastataan englanniksi tai käytä käännösalistaa.

Document Ref: DPA-POL-2026-V1.1 · Last updated: 31. elokuuta 2026 · Governing Law: Alankomaat

Tämä tietojenkäsittelylisä ("DPA") on osa peruspalvelusopimusta ("MSA") Sustalium B.V., Winkelstede 60, 2543BR, Den Haag, Alankomaat ("Käsittelijä") ja asiakkaan välillä MSA:n ("Rekisterinpitäjä") välillä.

1. Määritelmät

Termeillä, joita ei ole määritelty tässä DPA:ssa, on MSA:ssa määritelty merkitys.

  • "Sovellettava tietosuoja-laki" tarkoittaa GDPR:ää (EU 2016/679), Hollannin GDPR-täytäntöönpanolakia ja kaikkia muita sovellettavia tietosuojalakeja.
  • "Henkilötiedot" tarkoittaa kaikkia tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön liittyviä tietoja, joita Sustalium käsittelee Asiakkaan puolesta.
  • "Palvelut" tarkoittaa Sustalium-yhteensopivuuden tiedustelualustaa ja siihen liittyviä palveluita.
  • "Alikäsittelijä" tarkoittaa kolmatta osapuolta, jonka Sustalium on valtuuttanut käsittelemään henkilötietoja.
  • "SCC:t" tarkoittaa EU:n vakiosopimuslausekkeita (2021/914).

2. Osapuolten roolit

  • Asiakas on rekisterinpitäjä.
  • Sustalium on tietojen käsittelijä.
  • Sustalium käsittelee henkilötietoja vain Asiakkaan dokumentoitujen ohjeiden mukaisesti.

3. Käsittelyn luonne, tarkoitus ja laajuus

Sustalium käsittelee henkilötietoja ainoastaan:

  • Tarjoaa pääsyn Sustalium-alustalle
  • Luoda, vahvistaa ja julkaista digitaalisen vaatimustenmukaisuuden omaisuutta
  • Käyttäjätilien hallinta ja todennus
  • Kirjausketjujen ylläpitäminen
  • Asiakastuen tarjoaminen
  • Alustan turvallisuuden ja kestävyyden varmistaminen

Sustalium on <strong>alan agnostikko</strong> ja käsittelee vain <strong>liiketoimintaympäristön henkilötietoja</strong>.

4. Henkilötietojen luokat

Asiakkaan tai sen käyttäjien toimittamana:

  • Työntekijöiden nimet
  • Työsähköpostiosoitteet
  • Roolit ja tehtävänimikkeet
  • Toimittajan yhteystiedot
  • Käyttäjätilin tunnisteet
  • IP-osoitteet ja laitteen metatiedot
  • Käyttäjien lataamat vaatimustenmukaisuusasiakirjat (voivat sisältää henkilötietoja)
  • Tarkastuslokit ja aikaleimat

Sustalium <strong>ei</strong> käsittele erikoisluokan tietoja.

5. Rekisteröityjen luokat

  • Asiakkaiden työntekijät
  • Toimittajan työntekijät
  • Urakoitsijat
  • Alustan käyttäjät
  • Tilintarkastajat (jos käyttöoikeus on myönnetty)

6. Prosessorin velvollisuudet

Sustalium tulee:

6.1. Käsittele vain ohjeiden mukaan

Käsittele henkilötietoja vain asiakkaan ohjeiden mukaisesti.

6.2. Luottamuksellisuus

Varmista, että henkilöstöä sitovat luottamuksellisuusvelvoitteet.

6.3. Turvatoimet

Ota käyttöön liitteessä II kuvatut tekniset ja organisatoriset toimenpiteet ("TOM:t"), mukaan lukien: Pakollinen MFA järjestelmänvalvojan käyttöoikeuksille, looginen tietojen eristäminen asiakkaiden välillä, salatut automaattiset päivittäiset varmuuskopiot ja vuotuinen levinneisyystestaus.

6.4. Aliprosessorit

Käytä vain hyväksyttyjä alikäsittelijöitä, jotka on lueteltu liitteessä III.

6.5. Apua valvojalle

Auttaa asiakasta rekisteröityjen pyyntöjen, turvallisuusvelvoitteiden, rikkomusilmoitusten ja tietoturvatietojen (tarvittaessa) kanssa.

6.6. Poista tai palauta

Irtisanomisen yhteydessä poista tai palauta Henkilötiedot, ellei laki edellytä niiden säilyttämistä.

7. Aliprosessorit

Asiakas valtuuttaa Sustaliumin käyttämään liitteessä III lueteltuja alikäsittelijöitä.

  • Varmista, että alikäsittelijöitä sitovat vastaavat tietosuoja-velvoitteet
  • Ilmoita asiakkaalle kaikista suunnitelluista muutoksista
  • Olet täysin vastuussa alikäsittelijän toimista

8. Kansainväliset siirrot

Sustalium primarily stores data in EU GCP regions. However, certain Sub‑processors (e.g., Auth0, Microsoft SharePoint) may involve non‑EU data transfers.

  • Sovelletaan 2021 EU:n vakiosopimuslausekkeita (SCC), ja ne on sisällytetty liitteeseen IV.
  • Sustalium toteuttaa lisätoimenpiteitä (salaus, MFA, tiukka pääsynvalvonta).

9. Turvallisuustapahtumat

Sustalium ilmoittaa Asiakkaalle ilman tarpeetonta viivytystä saatuaan tietoonsa henkilötietojen tietoturvaloukkauksesta.

  • Rikkomuksen luonne
  • Tietojen luokat, joihin vaikutus vaikuttaa
  • Todennäköisiä seurauksia
  • Toteutetut tai ehdotetut toimenpiteet

10. Tarkastukset

Asiakas voi tarkastaa Sustaliumin vaatimustenmukaisuuden:

  • Kerran vuodessa
  • 30 päivän varoitusajalla
  • Toimintaa häiritsemättä
  • Asiakirjojen tarkastelun tai riippumattoman tilintarkastajan kautta

11. Vastuu

Vastuuta säätelee MSA.

12. Sovellettava laki

Tätä tietosuojasopimusta säätelee Alankomaiden laki, ja riita-asiat käsitellään Amsterdamin, Alankomaiden toimivaltaisissa tuomioistuimissa.

Liite I – Käsittelyn kuvaus

  • Luonto: Vaatimustenmukaisuuden omaisuuden isännöinti, jäsentäminen, vahvistaminen ja julkaiseminen
  • Tarkoitus: Tarjoa vaatimustenmukaisuuden tiedustelupalveluita
  • Kesto: MSA:n kesto
  • Tietotyypit: Kuten osiossa 4
  • Rekisteröityneet: Kuten osiossa 5
  • Käsittelytoiminnot: tallennus, haku, jäsentäminen, lähetys, poistaminen

Liite II – Tekniset ja organisatoriset toimenpiteet (TOM)

Katso täydellinen luettelo toimenpiteistä Tekniset ja organisaation turvatoimenpiteet (TOM) -sivultamme.

Liite III – Hyväksytyt alikäsittelijät

AliprosessoriTarkoitusSijaintiSiirtomekanismi
Google Cloud Platform (GCP) Isännöinti, tallennus, varmuuskopiointi EU Ei käytössä (EU)
Auth0 (Okta) Todennus US SCC:t
Microsoft SharePoint (Office 365) CRM-tallennustila EU/US SCC:t
GCS Shield CDN/turvallisuus EU Ei käytössä (EU)

Katso täydellinen luettelo ja muutoskäytäntö aliprosessoriluettelostamme.

Liite IV – Vakiosopimuslausekkeet (SCC)

EU-komission täytäntöönpanopäätös (EU) 2021/914 SCC:t on sisällytetty viitteenä ja niitä sovelletaan kaikkiin siirtoihin muille kuin EU-aliprosessoreille.

Kysymyksiä? Contact us through our yhteydenottosivu for any questions about this DPA.