Dodatok o spracovaní údajov (DPA) — Sustalium

1. Definície

Pojmy, ktoré nie sú definované v tomto DPA, majú význam stanovený v MSA.

• „Príslušný zákon ochranu údajov“ znamená GDPR (EU 2016/679), holandský zákon o implementácii GDPR a akékoľvek ďalšie príslušné zákony na ochranu súkromia.
• „Osobné údaje“ znamenajú akékoľvek informácie týkajúce sa identifikovanej alebo identifikovateľnej fyzickej osoby, ktoré spoločnosť Sustalium spracúva v mene zákazníka.
• „Služby“ znamenajú spravodajskú platformu pre dodržiavanie pravidiel Sustalium a súvisiace služby.
• „Súčasťou sprostredkovateľa“ sa rozumie akákoľvek tretia strana poverená spoločnosťou Sustalium spracúvaním osobných údajov.
• „SCC“ znamená štandardné zmluvné doložky EU (2021/914).

2. Úlohy strán

• Zákazník je správcom údajov.
• Sustalium je spracovateľ údajov.
• Sustalium bude spracúvať Osobné údaje iba na základe zdokumentovaných pokynov od Zákazníka.

3. Povaha, účel a rozsah spracovania

Sustalium spracúva osobné údaje výlučne na:

• Poskytovanie prístupu k platforme Sustalium
• Vytváranie, overovanie a zverejňovanie digitálnych prostriedkov zhody
• Správa používateľských účtov a overovanie
• Udržiavanie kontrolných záznamov
• Poskytovanie zákazníckej podpory
• Zabezpečenie bezpečnosti a odolnosti platformy

Sustalium <strong>nezávisí od odvetvia</strong> a spracúva iba <strong>osobné údaje z obchodného kontextu</strong>.

4. Kategórie osobných údajov

Ako poskytuje zákazník alebo jeho používatelia:

• Mená zamestnancov
• Pracovné e-mailové adresy
• Úlohy a pracovné pozície
• Kontaktné údaje dodávateľa
• Identifikátory používateľských účtov
• IP adresy a metadáta zariadenia
• Dokumenty o zhode nahrané používateľmi (môžu obsahovať osobné údaje)
• Protokoly auditu a časové pečiatky

Sustalium <strong>nespracúva</strong> údaje špeciálnej kategórie.

5. Kategórie dotknutých osôb

• Zamestnanci zákazníkov
• Zamestnanci dodávateľa
• Dodávatelia
• Používatelia platformy
• Audítori (ak je im udelený prístup)

6. Povinnosti procesora

Sustalium musí:

7. Subspracovatelia

Zákazník oprávňuje Sustalium na používanie podprocesorov uvedených v prílohe III.

• Zabezpečte, aby subdodávatelia boli viazaní ekvivalentnými záväzkami ochranu údajov
• Informujte zákazníka o akýchkoľvek zamýšľaných zmenách
• Zostaňte plne zodpovední za činnosti podprocesora

8. Medzinárodné transfery

Sustalium primarily stores data in EU GCP regions. However, certain Sub‑processors (e.g., Auth0, Microsoft SharePoint) may involve non‑EU data transfers.

• Uplatňujú sa 2021 Štandardné zmluvné doložky EU (SCC), ktoré sú začlenené ako príloha IV.
• Sustalium implementuje dodatočné opatrenia (šifrovanie, MFA, prísna kontrola prístupu).

9. Bezpečnostné incidenty

Sustalium upozorní zákazníka bez zbytočného odkladu po tom, čo sa dozvie o porušení ochrany osobných údajov.

• Povaha porušenia
• Kategórie ovplyvnených údajov
• Pravdepodobné následky
• Prijaté alebo navrhované opatrenia

10. Audity

Zákazník môže kontrolovať súlad značky Sustalium:

• Raz za rok
• S 30-dňovou výpovednou lehotou
• Bez narušenia prevádzky
• Prostredníctvom kontroly dokumentácie alebo nezávislého audítora

11. Zodpovednosť

Zodpovednosť sa riadi MSA.

12. Rozhodujúce právo

Tento DPA sa riadi holandským právom a spory budú predložené príslušným súdom v Amsterdame, Holandsko.