Addendum sul trattamento dei dati (DPA) — Sustalium

Solo in inglese: Questa pagina è disponibile solo in inglese. Per domande, contattaci in inglese.

Document Ref: DPA-POL-2026-V1.1 · Last updated: 31 agosto 2026 · Governing Law: I Paesi Bassi

Il presente Addendum sul trattamento dei dati ("DPA") costituisce parte del Master Services Agreement ("MSA") tra Sustalium B.V., Winkelstede 60, 2543BR, Den Haag, Paesi Bassi ("Responsabile del trattamento") e il Cliente, come definito nell'MSA ("Responsabile del trattamento").

1. Definizioni

I termini non definiti nel presente DPA hanno il significato stabilito nell'MSA.

  • "Legge protezione dei dati applicabile" indica il GDPR (EU 2016/679), la legge olandese sull'implementazione del GDPR e qualsiasi altra legge sulla privacy applicabile.
  • “Dati personali” indica qualsiasi informazione relativa a una persona fisica identificata o identificabile trattata da Sustalium per conto del Cliente.
  • "Servizi" indica la piattaforma di intelligence sulla conformità Sustalium e i servizi correlati.
  • "Sub‑responsabile" indica qualsiasi terza parte incaricata da Sustalium di trattare i Dati personali.
  • "SCC" indica le clausole contrattuali standard EU (2021/914).

2. Ruoli delle parti

  • Il Cliente è il Titolare del trattamento.
  • Sustalium è il Responsabile del trattamento dei dati.
  • Sustalium tratterà i Dati Personali solo su istruzioni documentate del Cliente.

3. Natura, finalità e ambito del trattamento

Sustalium tratta i Dati Personali esclusivamente per:

  • Fornire l'accesso alla piattaforma Sustalium
  • Creazione, verifica e pubblicazione di risorse di conformità digitale
  • Gestione degli account utente e dell'autenticazione
  • Mantenimento delle tracce di controllo
  • Fornire assistenza clienti
  • Garantire la sicurezza e la resilienza della piattaforma

Sustalium è <strong>indipendente dal settore</strong> ed elabora solo <strong>dati personali del contesto aziendale</strong>.

4. Categorie di dati personali

Come fornito dal Cliente o dai suoi utenti:

  • Nomi dei dipendenti
  • Indirizzi email di lavoro
  • Ruoli e titoli professionali
  • Dettagli di contatto del fornitore
  • Identificatori dell'account utente
  • Indirizzi IP e metadati del dispositivo
  • Documenti di conformità caricati dagli utenti (potrebbero contenere dati personali)
  • Registri di controllo e timestamp

Sustalium <strong>non</strong> elabora i dati di categorie speciali.

5. Categorie di Interessati

  • Dipendenti del cliente
  • Dipendenti del fornitore
  • Appaltatori
  • Utenti della piattaforma
  • Revisori (se concesso l'accesso)

6. Obblighi del responsabile

Sustalium dovrà:

6.1. Processo solo su istruzioni

Trattare i dati personali solo secondo le istruzioni del Cliente.

6.2. Riservatezza

Garantire che il personale sia vincolato da obblighi di riservatezza.

6.3. Misure di sicurezza

Implementare le misure tecniche e organizzative ("TOM") descritte nell'Allegato II, tra cui: MFA obbligatoria per l'accesso amministrativo, isolamento logico dei dati tra i clienti, backup giornalieri automatizzati crittografati e test di penetrazione annuali.

6.4. Sub-responsabili del trattamento

Utilizzare solo sub-responsabili del trattamento approvati elencati nell'Allegato III.

6.5. Assistenza al Titolare

Assistere il Cliente con richieste dell'interessato, obblighi di sicurezza, notifiche di violazione e DPIA (ove applicabile).

6.6. Cancellazione o restituzione

In caso di risoluzione, eliminare o restituire i Dati personali a meno che non sia richiesto dalla legge di conservarli.

7. Sub-responsabili del trattamento

Il Cliente autorizza Sustalium a utilizzare i sub-responsabili elencati nell'Allegato III.

  • Garantire che i Sub-responsabili siano vincolati da obblighi protezione dei dati equivalenti
  • Informare il Cliente di eventuali modifiche previste
  • Rimanere pienamente responsabile per le azioni del Sub-responsabile

8. Trasferimenti internazionali

Sustalium primarily stores data in EU GCP regions. However, certain Sub‑processors (e.g., Auth0, Microsoft SharePoint) may involve non‑EU data transfers.

  • Si applicano le clausole contrattuali standard (SCC) EU 2021 che sono incorporate come Allegato IV.
  • Sustalium implementa misure supplementari (crittografia, MFA, rigoroso controllo degli accessi).

9. Incidenti di sicurezza

Sustalium avviserà il Cliente senza indebito ritardo dopo essere venuto a conoscenza di una violazione dei dati personali.

  • Natura della violazione
  • Categorie di dati interessati
  • Probabili conseguenze
  • Misure adottate o proposte

10. Audit

Il cliente può verificare la conformità di Sustalium:

  • Una volta all'anno
  • Con preavviso di 30 giorni
  • Senza interrompere le operazioni
  • Tramite revisione della documentazione o revisore indipendente

11. Responsabilità

La responsabilità è regolata dalla MSA.

12. Legge applicabile

Questo DPA è regolato dalla legge olandese e le controversie saranno sottoposte ai tribunali competenti di Amsterdam, Paesi Bassi.

Allegato I – Descrizione del trattamento

  • Natura: Ospitare, strutturare, verificare, pubblicare risorse di conformità
  • Scopo: fornire servizi di intelligence sulla conformità
  • Durata: durata dell'MSA
  • Tipi di dati: come elencato nella Sezione 4
  • Interessati: come elencati nella Sezione 5
  • Attività di trattamento: Archiviazione, recupero, strutturazione, trasmissione, cancellazione

Allegato II – Misure tecniche e organizzative (TOM)

Consulta la nostra pagina Misure di sicurezza tecniche e organizzative (TOM) per l'elenco completo delle misure.

Allegato III – Sub-responsabili del trattamento approvati

Sub-responsabile del trattamentoScopoPosizioneMeccanismo di trasferimento
Google Cloud Platform (GCP) Hosting, archiviazione, backup EU N/D (EU)
Aut0 (Okta) Autenticazione US SCCs
Microsoft SharePoint (Office 365) Archiviazione CRM EU/US SCCs
Scudo GCS CDN/sicurezza EU N/D (EU)

Consulta il nostro Elenco dei sub-responsabili per l'elenco completo e la politica di modifica.

Allegato IV — Clausole contrattuali tipo (SCC)

Le Decisione di esecuzione della Commissione EU (EU) 2021/914 SCC sono incorporate per riferimento e si applicano a tutti i trasferimenti a Sub-responsabili non EU.

Domande? Contact us through our pagina dei contatti for any questions about this DPA.