Dodatek dotyczący przetwarzania danych (DPA) – Sustalium

1. Definicje

Terminy niezdefiniowane w niniejszej Umowie Ochrony Środowiska mają znaczenie określone w Umowie MSA.

• „Obowiązujące prawo ochrona danych” oznacza RODO (EU 2016/679), holenderską ustawę wdrażającą RODO oraz wszelkie inne obowiązujące przepisy dotyczące prywatności.
• „Dane osobowe” oznaczają wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej przetwarzane przez Sustalium w imieniu Klienta.
• „Usługi” oznaczają platformę analizy zgodności Sustalium i powiązane usługi.
• „Podprzetwarzający” oznacza dowolną stronę trzecią zaangażowaną przez Sustalium do przetwarzania Danych osobowych.
• „SCC” oznaczają standardowe klauzule umowne EU (2021/914).

2. Role Stron

• Klient jest Administratorem Danych.
• Sustalium jest podmiotem przetwarzającym dane.
• Sustalium będzie przetwarzać Dane Osobowe wyłącznie na udokumentowane polecenie od Klienta.

3. Charakter, cel i zakres przetwarzania

Sustalium przetwarza Dane Osobowe wyłącznie w celu:

• Zapewnienie dostępu do platformy Sustalium
• Tworzenie, weryfikacja i publikowanie zasobów zapewniających zgodność cyfrową
• Zarządzanie kontami użytkowników i uwierzytelnianiem
• Utrzymywanie ścieżek audytu
• Zapewnienie wsparcia klienta
• Zapewnienie bezpieczeństwa i odporności platformy

Sustalium jest <strong>niezależny od branży</strong> i przetwarza wyłącznie <strong>dane osobowe dotyczące kontekstu biznesowego</strong>.

4. Kategorie Danych Osobowych

Zgodnie z informacjami dostarczonymi przez Klienta lub jego użytkowników:

• Nazwiska pracowników
• Pracownicze adresy e-mail
• Role i tytuły stanowisk
• Dane kontaktowe dostawcy
• Identyfikatory kont użytkowników
• Adresy IP i metadane urządzenia
• Dokumenty zgodności przesłane przez użytkowników (mogą zawierać dane osobowe)
• Dzienniki audytu i znaczniki czasu

Sustalium <strong>nie</strong> przetwarza danych kategorii specjalnej.

5. Kategorie osób, których dane dotyczą

• Pracownicy klienta
• Pracownicy dostawcy
• Wykonawcy
• Użytkownicy platformy
• Audytorzy (jeśli przyznano dostęp)

6. Obowiązki procesora

Sustalium powinien:

7. Podwykonawcy przetwarzania

Klient upoważnia Sustalium do korzystania z Podmiotów przetwarzających wymienionych w Załączniku III.

• Upewnij się, że podprzetwarzający są związani równoważnymi obowiązkami ochrona danych
• Powiadom Klienta o wszelkich zamierzonych zmianach
• Pozostań w pełni odpowiedzialny za działania Podwykonawcy przetwarzania

8. Transfery międzynarodowe

Sustalium primarily stores data in EU GCP regions. However, certain Sub‑processors (e.g., Auth0, Microsoft SharePoint) may involve non‑EU data transfers.

• Obowiązują Standardowe klauzule umowne (SCC) 2021 EU, które są włączone jako Załącznik IV.
• Sustalium wdraża środki uzupełniające (szyfrowanie, MFA, ścisła kontrola dostępu).

9. Incydenty związane z bezpieczeństwem

Sustalium powiadomi Klienta bez zbędnej zwłoki po uzyskaniu informacji o naruszeniu ochrony danych osobowych.

• Charakter naruszenia
• Kategorie danych, których to dotyczy
• Prawdopodobne konsekwencje
• Podjęte lub zaproponowane środki

10. Audyty

Klient może sprawdzić zgodność Sustalium:

• Raz na rok
• Z 30-dniowym wyprzedzeniem
• Bez zakłócania operacji
• Poprzez przegląd dokumentacji lub niezależnego audytora

11. Obciążenie

Odpowiedzialność reguluje MSA.

12. Obowiązujące prawo

Niniejsza Umowa o ochronie danych podlega prawu holenderskiemu, a spory będą kierowane do właściwych sądów w Amsterdamie, Holandia.