Databehandlingstillegg (DPA) — Sustalium

1. Definisjoner

Begreper som ikke er definert i denne DPA, har betydningen angitt i MSA.

• «Gjeldende databeskyttelse-lov» betyr GDPR (EU 2016/679), nederlandsk GDPR-implementeringslov og alle andre gjeldende personvernlover.
• “Personopplysninger” betyr all informasjon knyttet til en identifisert eller identifiserbar fysisk person som behandles av Sustalium på vegne av kunden.
• “Tjenester” betyr Sustalium-etterretningsplattformen og relaterte tjenester.
• “Underbehandler” betyr enhver tredjepart engasjert av Sustalium for å behandle personopplysninger.
• «SCC-er» betyr EU-standardkontraktsklausulene (2021/914).

2. Partenes roller

• Kunden er dataansvarlig.
• Sustalium er databehandleren.
• Sustalium vil behandle personopplysninger kun etter dokumenterte instruksjoner fra kunden.

3. Behandlingens art, formål og omfang

Sustalium behandler personopplysninger utelukkende for:

• Gir tilgang til Sustalium-plattformen
• Opprette, verifisere og publisere digitale samsvarsressurser
• Administrere brukerkontoer og autentisering
• Vedlikeholde revisjonsspor
• Tilbyr kundestøtte
• Sikre plattformsikkerhet og motstandskraft

Sustalium er <strong>bransjeagnostisk</strong> og behandler kun <strong>personopplysninger i forretningssammenheng</strong>.

4. Kategorier av personopplysninger

Som oppgitt av kunden eller dens brukere:

• Ansattes navn
• Arbeids-e-postadresser
• Roller og stillingsbetegnelser
• Leverandørens kontaktinformasjon
• Brukerkontoidentifikatorer
• IP-adresser og enhetsmetadata
• Samsvarsdokumenter lastet opp av brukere (kan inneholde personopplysninger)
• Revisjonslogger og tidsstempler

Sustalium behandler <strong>ikke</strong> spesialkategoridata.

5. Kategorier av registrerte

• Kundeansatte
• Leverandøransatte
• Entreprenører
• Plattformbrukere
• Revisorer (hvis gitt tilgang)

6. Prosessorforpliktelser

Sustalium skal:

7. Underbehandlere

Kunden autoriserer Sustalium til å bruke underbehandlerne som er oppført i vedlegg III.

• Sørg for at underbehandlere er bundet av tilsvarende databeskyttelse-forpliktelser
• Varsle kunden om eventuelle tiltenkte endringer
• Forbli fullt ansvarlig for underbehandlerhandlinger

8. Internasjonale overføringer

Sustalium primarily stores data in EU GCP regions. However, certain Sub‑processors (e.g., Auth0, Microsoft SharePoint) may involve non‑EU data transfers.

• 2021 EU Standard Contractual Clauses (SCCs) gjelder og er innlemmet som vedlegg IV.
• Sustalium implementerer supplerende tiltak (kryptering, MFA, streng tilgangskontroll).

9. Sikkerhetshendelser

Sustalium vil varsle kunden uten unødig forsinkelse etter å ha blitt oppmerksom på et brudd på personopplysninger.

• Arten av bruddet
• Kategorier av berørte data
• Sannsynlige konsekvenser
• Tiltak som er tatt eller foreslått

10. Tilsyn

Kunden kan revidere Sustaliums overholdelse:

• En gang i året
• Med 30 dagers varsel
• Uten å forstyrre driften
• Via dokumentasjonsgjennomgang eller uavhengig revisor

11. Ansvar

Ansvar styres av MSA.

12. Gjeldende lov

Denne DPA er underlagt nederlandsk lov, og tvister skal sendes til de kompetente domstolene i Amsterdam, Nederland.