Data Processing Addendum (DPA) — Sustalium

1. Definitioner

Termer som inte definieras i denna DPA har den betydelse som anges i MSA.

• ”Tillämplig dataskydd-lag” avser GDPR (EU 2016/679), nederländska GDPR Implementation Act och alla andra tillämpliga integritetslagar.
• "Personuppgifter" avser all information som rör en identifierad eller identifierbar fysisk person som behandlas av Sustalium på uppdrag av kunden.
• "Tjänster" avser Sustaliums efterlevnadsunderrättelseplattform och relaterade tjänster.
• ”Underbehandlare” avser tredje part som anlitats av Sustalium för att behandla personuppgifter.
• ”SCC” avser EU standardavtalsklausuler (2021/914).

2. Parternas roller

• Kunden är personuppgiftsansvarig.
• Sustalium är databehandlare.
• Sustalium kommer att behandla personuppgifter endast efter dokumenterade instruktioner från kunden.

3. Bearbetningens art, syfte och omfattning

Sustalium behandlar personuppgifter endast för:

• Ger åtkomst till Sustalium-plattformen
• Skapa, verifiera och publicera digitala efterlevnadstillgångar
• Hantera användarkonton och autentisering
• Upprätthålla revisionsspår
• Tillhandahålla kundsupport
• Säkerställa plattformssäkerhet och motståndskraft

Sustalium är <strong>industriagnostisk</strong> och behandlar endast <strong>personuppgifter i affärssammanhang</strong>.

4. Kategorier av personuppgifter

Som tillhandahålls av kunden eller dess användare:

• Anställdas namn
• Jobbets e-postadresser
• Roller och befattningar
• Leverantörens kontaktuppgifter
• Användarkontoidentifierare
• IP-adresser och enhetsmetadata
• Överensstämmelsedokument som laddats upp av användare (kan innehålla personuppgifter)
• Revisionsloggar och tidsstämplar

Sustalium behandlar <strong>inte</strong> specialkategoridata.

5. Kategorier av registrerade

• Kundanställda
• Leverantörsanställda
• Entreprenörer
• Plattformsanvändare
• Revisorer (om de ges tillgång)

6. Processorns skyldigheter

Sustalium ska:

7. Underprocessorer

Kunden auktoriserar Sustalium att använda de underprocessorer som anges i bilaga III.

• Se till att underbehandlare är bundna av motsvarande dataskydd-förpliktelser
• Meddela kunden om eventuella avsedda ändringar
• Förbli fullt ansvarig för underbehandlarens åtgärder

8. Internationella överföringar

Sustalium primarily stores data in EU GCP regions. However, certain Sub‑processors (e.g., Auth0, Microsoft SharePoint) may involve non‑EU data transfers.

• 2021 EU Standard Contractual Clauses (SCCs) gäller och är införlivade som bilaga IV.
• Sustalium implementerar kompletterande åtgärder (kryptering, MFA, strikt åtkomstkontroll).

9. Säkerhetsincidenter

Sustalium kommer att meddela kunden utan onödigt dröjsmål efter att ha blivit medveten om ett personuppgiftsintrång.

• Överträdelsens art
• Kategorier av berörda data
• Troliga konsekvenser
• Vidtagna eller föreslagna åtgärder

10. Revisioner

Kunden kan granska Sustaliums efterlevnad:

• En gång per år
• Med 30 dagars varsel
• Utan att störa verksamheten
• Via dokumentationsgranskning eller oberoende revisor

11. Ansvar

Ansvaret regleras av MSA.

12. Gällande lag

Denna dataskyddsmyndighet styrs av nederländsk lag och tvister ska överlämnas till behörig domstol i Amsterdam, Nederländerna.