データ処理補遺 (DPA) — Sustalium

1. 定義

この DPA で定義されていない用語は、MSA で定められた意味を持ちます。

• 「適用される データ保護 法」 とは、GDPR (EU 2016/679)、オランダの GDPR 実施法、およびその他の適用されるプライバシー法を意味します。
• 「個人データ」 とは、顧客に代わって Sustalium によって処理される、特定された、または特定可能な自然人に関する情報を意味します。
• 「サービス」 とは、Sustalium コンプライアンス インテリジェンス プラットフォームおよび関連サービスを意味します。
• 「サブプロセッサ」 とは、Sustalium が個人データの処理に従事する第三者を意味します。
• 「SCC」 とは、EU 標準契約条項 (2021/914) を意味します。

2. 当事者の役割

• 顧客はデータ管理者です。
• Sustalium はデータ プロセッサです。
• Sustalium は、 お客様から文書化された指示がある場合にのみ個人データを処理します。

3. 処理の性質、目的、範囲

Sustalium は、以下の目的でのみ個人データを処理します。

• Sustalium プラットフォームへのアクセスの提供
• デジタル コンプライアンス資産の作成、検証、公開
• ユーザーアカウントと認証の管理
• 監査証跡の維持
• カスタマーサポートの提供
• プラットフォームのセキュリティと復元力を確保する

Sustalium は<strong>業界にとらわれず</strong>、<strong>ビジネスコンテキストの個人データ</strong>のみを処理します。

4. 個人データのカテゴリー

顧客またはそのユーザーが提供するもの:

• 従業員名
• 仕事用メールアドレス
• 役割と役職
• サプライヤーの連絡先詳細
• ユーザーアカウント識別子
• IP アドレスとデバイスのメタデータ
• ユーザーがアップロードしたコンプライアンス文書 (個人データが含まれる場合があります)
• 監査ログとタイムスタンプ

Sustalium は、特別なカテゴリのデータを処理<strong>しません</strong>。

5. データ主体のカテゴリ

• 顧客従業員
• サプライヤー従業員
• 請負業者
• プラットフォームユーザー
• 監査人 (アクセスが許可されている場合)

6. プロセッサーの義務

Sustalium は次のことを行うものとします。

7. サブプロセッサー

お客様は、Sustalium が 付録 III にリストされているサブプロセッサを使用することを承認します。

• 副処理者が同等の データ保護 義務に拘束されるようにする
• 意図した変更がある場合は顧客に通知する
• 副処理者の行為に対して全責任を負い続ける

8. 国際送金

Sustalium primarily stores data in EU GCP regions. However, certain Sub‑processors (e.g., Auth0, Microsoft SharePoint) may involve non‑EU data transfers.

• 2021 EU 標準契約条項 (SCC) が適用され、附属書 IV として組み込まれます。
• Sustaliumは補助的な対策（暗号化、MFA、厳格なアクセス制御）を実施しています。

9. セキュリティインシデント

Sustalium は、個人データ侵害を認識した後不当な遅滞なく顧客に通知します。

• 侵害の性質
• 影響を受けるデータのカテゴリ
• 起こり得る結果
• 講じられたまたは提案された措置

10. 監査

お客様は、Sustalium のコンプライアンスを監査できます。

• 年に1回
• 30日前までに通知する
• 業務を中断することなく
• 文書レビューまたは独立監査人による

11. 責任

責任は MSA によって管理されます。

12. 準拠法

この DPA はオランダ法に準拠しており、 紛争はオランダのアムステルダムの管轄裁判所に提出されるものとします。