ภาคผนวกการประมวลผลข้อมูล (DPA) — Sustalium

1. คำจำกัดความ

ข้อกำหนดที่ไม่ได้ให้คำจำกัดความไว้ใน DPA นี้มีความหมายตามที่ระบุไว้ใน MSA

• “กฎหมาย การปกป้องข้อมูล ที่บังคับใช้” หมายถึง GDPR (EU 2016/679), กฎหมายว่าด้วยการบังคับใช้ GDPR ของเนเธอร์แลนด์ และกฎหมายความเป็นส่วนตัวอื่นๆ ที่เกี่ยวข้อง
• “ข้อมูลส่วนบุคคล” หมายถึงข้อมูลใด ๆ ที่เกี่ยวข้องกับบุคคลธรรมดาที่ระบุหรือระบุตัวตนได้ซึ่งประมวลผลโดย Sustalium ในนามของลูกค้า
• “บริการ” หมายถึงแพลตฟอร์มอัจฉริยะด้านการปฏิบัติตามข้อกำหนดของ Sustalium และบริการที่เกี่ยวข้อง
• “ผู้ประมวลผลย่อย” หมายถึงบุคคลที่สามที่ Sustalium ว่าจ้างให้ประมวลผลข้อมูลส่วนบุคคล
• “SCC” หมายถึง EU Standard Contractual Clauses (2021/914)

2. บทบาทของภาคี

• ลูกค้าคือผู้ควบคุมข้อมูล
• Sustalium เป็นผู้ประมวลผลข้อมูล
• Sustalium จะประมวลผลข้อมูลส่วนบุคคล ตามคำแนะนำที่เป็นเอกสารเท่านั้น จากลูกค้า

3. ลักษณะ วัตถุประสงค์ และขอบเขตของการประมวลผล

Sustalium ประมวลผลข้อมูลส่วนบุคคลสำหรับ:

• ให้การเข้าถึงแพลตฟอร์ม Sustalium
• การสร้าง การตรวจสอบ และเผยแพร่เนื้อหาการปฏิบัติตามข้อกำหนดทางดิจิทัล
• การจัดการบัญชีผู้ใช้และการรับรองความถูกต้อง
• การรักษาเส้นทางการตรวจสอบ
• ให้การสนับสนุนลูกค้า
• รับประกันความปลอดภัยและความยืดหยุ่นของแพลตฟอร์ม

Sustalium <strong>ไม่เชื่อเรื่องพระเจ้าในอุตสาหกรรม</strong> และประมวลผลเฉพาะ<strong>ข้อมูลส่วนตัวตามบริบททางธุรกิจ</strong>

4. ประเภทของข้อมูลส่วนบุคคล

ตามที่ลูกค้าหรือผู้ใช้ระบุไว้:

• ชื่อพนักงาน
• ที่อยู่อีเมลที่ทำงาน
• บทบาทและตำแหน่งงาน
• รายละเอียดการติดต่อซัพพลายเออร์
• ตัวระบุบัญชีผู้ใช้
• ที่อยู่ IP และข้อมูลเมตาของอุปกรณ์
• เอกสารการปฏิบัติตามกฎระเบียบที่อัปโหลดโดยผู้ใช้ (อาจมีข้อมูลส่วนบุคคล)
• บันทึกการตรวจสอบและการประทับเวลา

Sustalium <strong>ไม่</strong> ประมวลผลข้อมูลหมวดหมู่พิเศษ

5. หมวดหมู่ของเจ้าของข้อมูล

• พนักงานลูกค้า
• พนักงานซัพพลายเออร์
• ผู้รับเหมา
• ผู้ใช้แพลตฟอร์ม
• ผู้ตรวจสอบบัญชี (หากได้รับสิทธิ์เข้าถึง)

6. ภาระผูกพันของผู้ประมวลผล

Sustalium จะต้อง:

7. โปรเซสเซอร์ย่อย

ลูกค้าอนุญาตให้ Sustalium ใช้โปรเซสเซอร์ย่อยที่ระบุไว้ใน ภาคผนวก III

• ตรวจสอบให้แน่ใจว่าโปรเซสเซอร์ย่อยถูกผูกมัดตามข้อผูกพัน การปกป้องข้อมูล ที่เทียบเท่ากัน
• แจ้งให้ลูกค้าทราบถึงการเปลี่ยนแปลงที่ตั้งใจไว้
• ยังคงรับผิดชอบอย่างเต็มที่ต่อการดำเนินการของโปรเซสเซอร์ย่อย

8. การโอนระหว่างประเทศ

Sustalium primarily stores data in EU GCP regions. However, certain Sub‑processors (e.g., Auth0, Microsoft SharePoint) may involve non‑EU data transfers.

• ข้อสัญญามาตรฐาน (SCC) ของ EU ปี 2021 มีผลบังคับใช้และรวมอยู่ในภาคผนวก IV
• Sustalium ใช้มาตรการเสริม (การเข้ารหัส, MFA, การควบคุมการเข้าถึงที่เข้มงวด)

9. เหตุการณ์ด้านความปลอดภัย

Sustalium จะแจ้งให้ลูกค้าทราบ โดยไม่ล่าช้าเกินควร หลังจากทราบถึงการละเมิดข้อมูลส่วนบุคคล

• ลักษณะของการละเมิด
• หมวดหมู่ของข้อมูลที่ได้รับผลกระทบ
• ผลที่ตามมาที่อาจเกิดขึ้น
• มาตรการที่ดำเนินการหรือเสนอ

10. การตรวจสอบ

ลูกค้าสามารถตรวจสอบการปฏิบัติตามของ Sustalium:

• ปีละครั้ง
• โดยแจ้งให้ทราบล่วงหน้า 30 วัน
• โดยไม่รบกวนการดำเนินงาน
• ผ่านการทบทวนเอกสารหรือผู้ตรวจสอบอิสระ

11. ความรับผิด

ความรับผิดอยู่ภายใต้ MSA

12. กฎหมายที่ใช้บังคับ

DPA นี้อยู่ภายใต้กฎหมายดัตช์ และข้อพิพาทจะต้องยื่นต่อศาลที่มีเขตอำนาจของ อัมสเตอร์ดัม เนเธอร์แลนด์