Addendum sur le traitement des données (DPA) — Sustalium

1. Définitions

Les termes non définis dans le présent DPA ont la signification indiquée dans le MSA.

• « Loi protection des données applicable » désigne le RGPD (EU 2016/679), la loi néerlandaise de mise en œuvre du RGPD et toute autre loi applicable en matière de confidentialité.
• « Données personnelles » désigne toute information relative à une personne physique identifiée ou identifiable traitée par Sustalium pour le compte du Client.
• « Services » désigne la plateforme de veille sur la conformité Sustalium et les services associés.
• « Sous-traitant » désigne tout tiers engagé par Sustalium pour traiter les données personnelles.
• « CSC » désigne les clauses contractuelles types EU (2021/914).

2. Rôles des parties

• Le Client est le Responsable du traitement.
• Sustalium est le sous-traitant des données.
• Sustalium traitera les Données personnelles uniquement sur instructions documentées du Client.

3. Nature, finalité et étendue du traitement

Sustalium traite les données personnelles uniquement pour :

• Donner accès à la plateforme Sustalium
• Création, vérification et publication d'actifs de conformité numérique
• Gestion des comptes utilisateurs et de l'authentification
• Maintenir des pistes d'audit
• Assurer le support client
• Assurer la sécurité et la résilience de la plateforme

Sustalium est <strong>indépendant du secteur</strong> et traite uniquement les <strong>données personnelles liées au contexte commercial</strong>.

4. Catégories de données personnelles

Tel que fourni par le Client ou ses utilisateurs :

• Noms des employés
• Adresses e-mail professionnelles
• Rôles et intitulés de poste
• Coordonnées du fournisseur
• Identifiants de compte utilisateur
• Adresses IP et métadonnées des appareils
• Documents de conformité téléchargés par les utilisateurs (peuvent contenir des données personnelles)
• Journaux d'audit et horodatages

Sustalium ne traite <strong>pas</strong> les données de catégories spéciales.

5. Catégories de personnes concernées

• Employés du client
• Employés du fournisseur
• Entrepreneurs
• Utilisateurs de la plateforme
• Auditeurs (si l'accès est accordé)

6. Obligations du processeur

Sustalium doit :

7. Sous-traitants ultérieurs

Le Client autorise Sustalium à utiliser les Sous-traitants ultérieurs répertoriés dans l'Annexe III.

• S'assurer que les sous-traitants ultérieurs sont liés par des obligations protection des données équivalentes
• Informer le client de tout changement prévu
• Rester entièrement responsable des actions du sous-traitant ultérieur

8. Virements internationaux

Sustalium primarily stores data in EU GCP regions. However, certain Sub‑processors (e.g., Auth0, Microsoft SharePoint) may involve non‑EU data transfers.

• Les Clauses contractuelles types (CCS) EU 2021 s'appliquent et sont incorporées en tant qu'Annexe IV.
• Sustalium met en œuvre des mesures complémentaires (cryptage, MFA, contrôle d'accès strict).

9. Incidents de sécurité

Sustalium informera le Client dans les plus brefs délais après avoir pris connaissance d'une Violation de Données Personnelles.

• Nature du manquement
• Catégories de données concernées
• Conséquences probables
• Mesures prises ou proposées

10. Vérifications

Le client peut vérifier la conformité de Sustalium :

• Une fois par an
• Avec un préavis de 30 jours
• Sans perturber les opérations
• Via une revue de la documentation ou un auditeur indépendant

11. Responsabilité

La responsabilité est régie par la MSA.

12. Loi applicable

Ce DPA est régi par le droit néerlandais et les litiges seront soumis aux tribunaux compétents d'Amsterdam, aux Pays-Bas.