Addendum privind prelucrarea datelor (DPA) — Sustalium

1. Definiții

Termenii care nu sunt definiți în acest DPA au semnificația stabilită în MSA.

• „Legea protecția datelor aplicabilă” înseamnă GDPR (EU 2016/679), Legea olandeză de implementare a GDPR și orice alte legi aplicabile privind confidențialitatea.
• „Date cu caracter personal” înseamnă orice informație referitoare la o persoană fizică identificată sau identificabilă prelucrată de Sustalium în numele Clientului.
• „Servicii” înseamnă platforma de informații privind conformitatea Sustalium și serviciile conexe.
• „Sub-procesor” înseamnă orice terță parte angajată de Sustalium pentru prelucrarea datelor cu caracter personal.
• „SCC” înseamnă Clauzele Contractuale Standard EU (2021/914).

2. Rolurile părților

• Clientul este operatorul de date.
• Sustalium este Procesorul de date.
• Sustalium va procesa Datele cu Caracter Personal numai conform instrucțiunilor documentate de la Client.

3. Natura, scopul și domeniul de aplicare al prelucrării

Sustalium prelucrează Datele personale numai pentru:

• Oferirea accesului la platforma Sustalium
• Crearea, verificarea și publicarea elementelor digitale de conformitate
• Gestionarea conturilor de utilizator și autentificarea
• Mentinerea pistelor de audit
• Oferirea de suport pentru clienți
• Asigurarea securității și rezistenței platformei

Sustalium este <strong>independent de industrie</strong> și prelucrează numai <strong>date cu caracter personal din contextul comercial</strong>.

4. Categorii de date cu caracter personal

Așa cum sunt furnizate de Client sau de utilizatorii săi:

• Numele angajaților
• Adresele de e-mail de serviciu
• Roluri și titluri de post
• Datele de contact ale furnizorului
• Identificatori de cont de utilizator
• Adresele IP și metadatele dispozitivului
• Documente de conformitate încărcate de utilizatori (pot conține date personale)
• Jurnalele de audit și marcajele de timp

Sustalium <strong>nu</strong> procesează date de categorii speciale.

5. Categorii de subiecte de date

• Angajații clienți
• Angajații furnizorilor
• Antreprenori
• Utilizatorii platformei
• Auditori (dacă li se acordă acces)

6. Obligațiile procesatorului

Sustalium va:

7. Sub-procesori

Clientul autorizează Sustalium să utilizeze subprocesorii enumerați în Anexa III.

• Asigurați-vă că subprocesorii sunt legați de obligații echivalente protecția datelor
• Notificați Clientul cu privire la orice modificări intenționate
• Rămâneți pe deplin răspunzător pentru acțiunile subprocesorului

8. Transferuri internaționale

Sustalium primarily stores data in EU GCP regions. However, certain Sub‑processors (e.g., Auth0, Microsoft SharePoint) may involve non‑EU data transfers.

• Se aplică clauzele contractuale standard (SCC) EU 2021 și sunt încorporate ca anexa IV.
• Sustalium implementează măsuri suplimentare (criptare, MFA, control strict al accesului).

9. Incidente de securitate

Sustalium va notifica Clientul fără întârzieri nejustificate după ce a luat cunoștință de o încălcare a datelor cu caracter personal.

• Natura încălcării
• Categorii de date afectate
• Consecințele probabile
• Măsuri luate sau propuse

10. Audituri

Clientul poate audita conformitatea Sustalium:

• O dată pe an
• Cu un preaviz de 30 de zile
• Fără a întrerupe operațiunile
• Prin revizuirea documentației sau auditor independent

11. Răspundere

Răspunderea este guvernată de MSA.

12. Legea aplicabilă

Prezenta DPA este guvernată de legea olandeză, iar litigiile vor fi înaintate instanțelor competente din Amsterdam, Țările de Jos.