Adendo de Processamento de Dados (DPA) — Sustalium
Document Ref: DPA-POL-2026-V1.1 · Last updated: 31 de agosto de 2026 · Governing Law: Holanda
Este Adendo de Processamento de Dados (“DPA”) faz parte do Contrato Principal de Serviços (“MSA”) entre Sustalium B.V., Winkelstede 60, 2543BR, Den Haag, Holanda (“Processador”), e o Cliente, conforme definido no MSA (“Controlador”).
1. Definições
Os termos não definidos neste DPA têm o significado estabelecido no MSA.
- “Lei proteção de dados Aplicável” significa o GDPR (EU 2016/679), a Lei de Implementação do GDPR Holandesa e quaisquer outras leis de privacidade aplicáveis.
- “Dados Pessoais” significa qualquer informação relativa a uma pessoa física identificada ou identificável processada pela Sustalium em nome do Cliente.
- “Serviços” significa a plataforma de inteligência de conformidade Sustalium e serviços relacionados.
- “Subprocessador” significa qualquer terceiro contratado pela Sustalium para processar Dados Pessoais.
- “SCCs” significa as Cláusulas Contratuais Padrão EU (2021/914).
2. Papéis das Partes
- O Cliente é o Controlador de Dados.
- Sustalium é o Processador de Dados.
- Sustalium processará Dados Pessoais somente de acordo com instruções documentadas do Cliente.
3. Natureza, finalidade e escopo do processamento
Sustalium processa Dados Pessoais exclusivamente para:
- Fornecimento de acesso à plataforma Sustalium
- Criação, verificação e publicação de ativos de conformidade digital
- Gerenciando contas de usuário e autenticação
- Manutenção de trilhas de auditoria
- Fornecendo suporte ao cliente
- Garantindo a segurança e resiliência da plataforma
Sustalium é <strong>agnóstico no setor</strong> e processa apenas <strong>dados pessoais de contexto empresarial</strong>.
4. Categorias de dados pessoais
Conforme fornecido pelo Cliente ou seus usuários:
- Nomes de funcionários
- Endereços de e-mail de trabalho
- Funções e cargos
- Detalhes de contato do fornecedor
- Identificadores de conta de usuário
- Endereços IP e metadados do dispositivo
- Documentos de conformidade enviados pelos usuários (podem conter dados pessoais)
- Registros de auditoria e carimbos de data/hora
Sustalium <strong>não</strong> processa dados de categorias especiais.
5. Categorias de titulares de dados
- Funcionários do cliente
- Funcionários do fornecedor
- Empreiteiros
- Usuários da plataforma
- Auditores (se tiver acesso)
6. Obrigações do processador
Sustalium deverá:
6.1. Processe apenas de acordo com as instruções
Processar Dados Pessoais apenas conforme instruído pelo Cliente.
6.2. Confidencialidade
Certifique-se de que o pessoal esteja sujeito a obrigações de confidencialidade.
6.3. Medidas de segurança
Implementar as Medidas Técnicas e Organizacionais (“TOMs”) descritas no Anexo II, incluindo: MFA obrigatória para acesso administrativo, isolamento lógico de dados entre clientes, backups diários automatizados criptografados e testes de penetração anuais.
6.4. Subprocessadores
Use apenas Subprocessadores aprovados listados no Anexo III.
6,5. Assistência ao Controlador
Auxiliar o Cliente com solicitações de titulares de dados, obrigações de segurança, notificações de violação e DPIAs (quando aplicável).
6.6. Exclusão ou Devolução
Após a rescisão, exclua ou devolva os Dados Pessoais, a menos que seja exigido por lei para mantê-los.
7. Subprocessadores
O Cliente autoriza a Sustalium a usar os Subprocessadores listados no Anexo III.
- Garantir que os Subprocessadores estejam vinculados a obrigações proteção de dados equivalentes
- Notificar o Cliente sobre quaisquer alterações pretendidas
- Permanecer totalmente responsável pelas ações do Subprocessador
8. Transferências Internacionais
Sustalium primarily stores data in EU GCP regions. However, certain Sub‑processors (e.g., Auth0, Microsoft SharePoint) may involve non‑EU data transfers.
- As Cláusulas Contratuais Padrão (SCCs) EU 2021 se aplicam e são incorporadas como Anexo IV.
- Sustalium implementa medidas complementares (criptografia, MFA, controle rigoroso de acesso).
9. Incidentes de segurança
Sustalium notificará o Cliente sem demora injustificada após tomar conhecimento de uma violação de dados pessoais.
- Natureza da violação
- Categorias de dados afetados
- Prováveis consequências
- Medidas tomadas ou propostas
10. Auditorias
O Cliente pode auditar a conformidade da Sustalium:
- Uma vez por ano
- Com aviso prévio de 30 dias
- Sem interromper as operações
- Através de revisão de documentação ou auditor independente
11. Responsabilidade
A responsabilidade é regida pela MSA.
12. Lei Aplicável
Este DPA é regido pela lei holandesa e as disputas serão submetidas aos tribunais competentes de Amsterdã, Holanda.
Anexo I — Descrição do Processamento
- Natureza: Hospedagem, estruturação, verificação e publicação de ativos de conformidade
- Objetivo: fornecer serviços de inteligência de conformidade
- Duração: Duração do MSA
- Tipos de dados: conforme listado na Seção 4
- Titulares dos dados: conforme listado na Seção 5
- Atividades de processamento: armazenamento, recuperação, estruturação, transmissão, exclusão
Anexo II — Medidas Técnicas e Organizacionais (TOMs)
Consulte nossa página Medidas de segurança técnicas e organizacionais (TOMs) para obter a lista completa de medidas.
Anexo III — Subprocessadores Aprovados
| Subprocessador | Propósito | Localização | Mecanismo de Transferência |
|---|---|---|---|
| Google Cloud Platform (GCP) | Hospedagem, armazenamento, backups | EU | N/D (EU) |
| Auth0 (Okta) | Autenticação | US | SCCs |
| MicrosoftSharePoint (Office 365) | Armazenamento de CRM | EU/US | SCCs |
| GCS Shield | CDN/segurança | EU | N/D (EU) |
Consulte nossa Lista de subprocessadores para obter a lista completa e a política de alterações.
Anexo IV — Cláusulas Contratuais Padrão (CECs)
As SCCs da Decisão de Implementação da Comissão EU (EU) 2021/914 são incorporadas por referência e aplicam-se a todas as transferências para subprocessadores não EU.
Questões? Contact us through our página de contato for any questions about this DPA.