Adendum Pemrosesan Data (DPA) — Sustalium

1. Definisi

Istilah-istilah yang tidak didefinisikan dalam DPA ini mempunyai arti sebagaimana ditetapkan dalam MSA.

• “Hukum perlindungan data yang Berlaku” berarti GDPR (EU 2016/679), Undang-Undang Penerapan GDPR Belanda, dan undang-undang privasi lainnya yang berlaku.
• “Data Pribadi” berarti informasi apa pun yang berkaitan dengan individu yang teridentifikasi atau dapat diidentifikasi yang diproses oleh Sustalium atas nama Pelanggan.
• “Layanan” berarti platform intelijen kepatuhan Sustalium dan layanan terkait.
• “Sub‑pemroses” berarti pihak ketiga mana pun yang dilibatkan oleh Sustalium untuk memproses Data Pribadi.
• “SCC” berarti Klausul Kontrak Standar EU (2021/914).

2. Peran Para Pihak

• Pelanggan adalah Pengontrol Data.
• Sustalium adalah Pemroses Data.
• Sustalium akan memproses Data Pribadi hanya berdasarkan instruksi terdokumentasi dari Pelanggan.

3. Sifat, Tujuan, dan Ruang Lingkup Pengolahan

Sustalium memproses Data Pribadi semata-mata untuk:

• Memberikan akses ke platform Sustalium
• Membuat, memverifikasi, dan menerbitkan aset kepatuhan digital
• Mengelola akun pengguna dan otentikasi
• Mempertahankan jejak audit
• Memberikan dukungan pelanggan
• Memastikan keamanan dan ketahanan platform

Sustalium bersifat <strong>agnostik industri</strong> dan hanya memproses <strong>data pribadi dalam konteks bisnis</strong>.

4. Kategori Data Pribadi

Sebagaimana disediakan oleh Pelanggan atau penggunanya:

• Nama karyawan
• Alamat email kantor
• Peran dan jabatan
• Detail kontak pemasok
• Pengidentifikasi akun pengguna
• Alamat IP dan metadata perangkat
• Dokumen kepatuhan yang diunggah oleh pengguna (mungkin berisi data pribadi)
• Log audit dan stempel waktu

Sustalium <strong>tidak</strong> memproses data kategori khusus.

5. Kategori Subjek Data

• Karyawan pelanggan
• Karyawan pemasok
• Kontraktor
• Pengguna platform
• Auditor (jika diberikan akses)

6. Kewajiban Prosesor

Sustalium harus:

7. Sub‑prosesor

Pelanggan mengizinkan Sustalium untuk menggunakan Sub‑pemroses yang tercantum dalam Lampiran III.

• Pastikan Sub‑pemroses terikat oleh kewajiban perlindungan data yang setara
• Memberi tahu Pelanggan tentang perubahan apa pun yang dimaksudkan
• Tetap bertanggung jawab penuh atas tindakan Sub-pemroses

8. Transfer Internasional

Sustalium primarily stores data in EU GCP regions. However, certain Sub‑processors (e.g., Auth0, Microsoft SharePoint) may involve non‑EU data transfers.

• Klausul Kontrak Standar (SCC) EU 2021 berlaku dan dimasukkan sebagai Lampiran IV.
• Sustalium menerapkan langkah-langkah tambahan (enkripsi, MFA, kontrol akses yang ketat).

9. Insiden Keamanan

Sustalium akan memberi tahu Pelanggan tanpa penundaan yang tidak semestinya setelah mengetahui adanya Pelanggaran Data Pribadi.

• Sifat pelanggarannya
• Kategori data yang terpengaruh
• Kemungkinan konsekuensinya
• Tindakan yang diambil atau diusulkan

10. Audit

Pelanggan dapat mengaudit kepatuhan Sustalium:

• Setahun sekali
• Dengan pemberitahuan 30 hari sebelumnya
• Tanpa mengganggu operasional
• Melalui tinjauan dokumentasi atau auditor independen

11. Beban

Tanggung jawab diatur oleh MSA.

12. Hukum yang Mengatur

DPA ini diatur oleh hukum Belanda, dan perselisihan akan diajukan ke pengadilan yang berwenang di Amsterdam, Belanda.