Приложение по обработке данных (DPA) — Sustalium

1. Определения

Термины, не определенные в настоящем DPA, имеют значения, установленные в MSA.

• Применимый закон защита данных означает GDPR (EU 2016/679), Закон Нидерландов о реализации GDPR и любые другие применимые законы о конфиденциальности.
• Персональные данные означают любую информацию, относящуюся к идентифицированному или идентифицируемому физическому лицу, обрабатываемую Sustalium от имени Клиента.
• «Услуги» означает платформу анализа соответствия Sustalium и связанные с ней услуги.
• «Субобработчик» означает любую третью сторону, привлеченную Sustalium для обработки Персональных данных.
• «SCC» означает Стандартные договорные условия EU (2021/914).

2. Роли сторон

• Клиент является Контроллером данных.
• Sustalium — обработчик данных.
• Sustalium будет обрабатывать Персональные данные только по документально оформленным инструкциям Клиента.

3. Характер, цель и объем обработки

Sustalium обрабатывает Персональные данные исключительно для:

• Предоставление доступа к платформе Sustalium
• Создание, проверка и публикация активов цифрового соответствия
• Управление учетными записями пользователей и аутентификацией
• Ведение контрольных журналов
• Обеспечение поддержки клиентов
• Обеспечение безопасности и отказоустойчивости платформы

Sustalium <strong>независим от отрасли</strong> и обрабатывает только <strong>персональные данные бизнес-контекста</strong>.

4. Категории персональных данных

По предоставлению Заказчика или его пользователей:

• Имена сотрудников
• Рабочие адреса электронной почты
• Роли и названия должностей
• Контактные данные поставщика
• Идентификаторы учетных записей пользователей
• IP-адреса и метаданные устройства
• Документы о соответствии, загруженные пользователями (могут содержать персональные данные)
• Журналы аудита и временные метки

Sustalium <strong>не</strong> обрабатывает данные специальных категорий.

5. Категории субъектов данных

• Сотрудники заказчика
• Сотрудники поставщика
• Подрядчики
• Пользователи платформы
• Аудиторы (при наличии доступа)

6. Обязанности процессора

Sustalium обязуется:

7. Субпроцессоры

Клиент разрешает Sustalium использовать субобработчиков, перечисленных в Приложении III.

• Убедитесь, что субобработчики связаны эквивалентными обязательствами защита данных.
• Уведомлять Клиента о любых планируемых изменениях
• Нести полную ответственность за действия субобработчика.

8. Международные переводы

Sustalium primarily stores data in EU GCP regions. However, certain Sub‑processors (e.g., Auth0, Microsoft SharePoint) may involve non‑EU data transfers.

• Применяются Стандартные договорные положения EU 2021 (SCC), которые включены в Приложение IV.
• Sustalium реализует дополнительные меры (шифрование, MFA, строгий контроль доступа).

9. Инциденты безопасности

Sustalium уведомит Клиента без неоправданной задержки после того, как ему станет известно об утечке персональных данных.

• Характер нарушения
• Категории затронутых данных
• Вероятные последствия
• Принятые или предлагаемые меры

10. Аудиты

Клиент может проверить соответствие Sustalium:

• Один раз в год
• С уведомлением за 30 дней
• Без нарушения работы
• Через проверку документации или независимого аудитора

11. Обязанность

Ответственность регулируется MSA.

12. Применимое право

Настоящее Соглашение DPA регулируется голландским законодательством, а споры должны передаваться в компетентные суды Амстердама, Нидерланды.