Addendum voor gegevensverwerking (DPA) — Sustalium

1. Definities

Termen die niet in deze DPA zijn gedefinieerd, hebben de betekenis zoals uiteengezet in de MSA.

• “Toepasselijke gegevensbescherming-wetgeving” betekent de AVG (EU 2016/679), de Nederlandse AVG-implementatiewet en alle andere toepasselijke privacywetten.
• “Persoonsgegevens” betekent alle informatie met betrekking tot een geïdentificeerde of identificeerbare natuurlijke persoon die door Sustalium namens de Klant wordt verwerkt.
• “Services” betekent het Sustalium compliance-intelligentieplatform en gerelateerde services.
• “Subverwerker” betekent elke derde partij die door Sustalium wordt ingeschakeld om Persoonsgegevens te verwerken.
• “SCC’s” betekent de EU-standaardcontractbepalingen (2021/914).

2. Rollen van de partijen

• De Klant is de Gegevensbeheerder.
• Sustalium is de gegevensverwerker.
• Sustalium verwerkt Persoonsgegevens alleen op gedocumenteerde instructies van de Klant.

3. Aard, doel en omvang van de verwerking

Sustalium verwerkt Persoonsgegevens uitsluitend voor:

• Het verlenen van toegang tot het Sustalium-platform
• Digitale compliance-middelen creëren, verifiëren en publiceren
• Gebruikersaccounts en authenticatie beheren
• Het bijhouden van audittrails
• Het bieden van klantenondersteuning
• Zorgen voor platformbeveiliging en veerkracht

Sustalium is <strong>brancheonafhankelijk</strong> en verwerkt alleen <strong>persoonlijke gegevens uit de zakelijke context</strong>.

4. Categorieën persoonlijke gegevens

Zoals verstrekt door de Klant of zijn gebruikers:

• Namen van werknemers
• Werk e-mailadressen
• Rollen en functietitels
• Contactgegevens van de leverancier
• Gebruikersaccount-ID's
• IP-adressen en metagegevens van het apparaat
• Nalevingsdocumenten geüpload door gebruikers (kunnen persoonlijke gegevens bevatten)
• Auditlogboeken en tijdstempels

Sustalium verwerkt <strong>geen</strong> gegevens uit speciale categorieën.

5. Categorieën van betrokkenen

• Medewerkers van klanten
• Medewerkers van leveranciers
• Aannemers
• Platformgebruikers
• Auditors (indien toegang verleend)

6. Verwerkersverplichtingen

Sustalium zal:

7. Subverwerkers

De Klant geeft Sustalium toestemming om gebruik te maken van de Subverwerkers vermeld in Bijlage III.

• Zorg ervoor dat subverwerkers gebonden zijn aan gelijkwaardige gegevensbescherming-verplichtingen
• Klant op de hoogte stellen van eventuele voorgenomen wijzigingen
• Blijf volledig aansprakelijk voor acties van de Subverwerker

8. Internationale overdrachten

Sustalium primarily stores data in EU GCP regions. However, certain Sub‑processors (e.g., Auth0, Microsoft SharePoint) may involve non‑EU data transfers.

• De 2021 EU Standaardcontractbepalingen (SCC's) zijn van toepassing en zijn opgenomen als Bijlage IV.
• Sustalium implementeert aanvullende maatregelen (encryptie, MFA, strikte toegangscontrole).

9. Beveiligingsincidenten

Sustalium zal de Klant zonder onnodige vertraging op de hoogte stellen nadat hij zich bewust wordt van een Inbreuk in verband met Persoonsgegevens.

• Aard van de inbreuk
• Categorieën van getroffen gegevens
• Waarschijnlijke gevolgen
• Maatregelen die zijn genomen of voorgesteld

10. Audits

De Klant kan de naleving van Sustalium controleren:

• Eén keer per jaar
• Met een opzegtermijn van 30 dagen
• Zonder de bedrijfsvoering te verstoren
• Via documentatiebeoordeling of onafhankelijke auditor

11. Betrouwbaarheid

De aansprakelijkheid wordt geregeld door de MSA.

12. Toepasselijk recht

Op deze DPA is Nederlands recht van toepassing, en geschillen zullen worden voorgelegd aan de bevoegde rechtbanken van Amsterdam, Nederland.