Доповнення щодо обробки даних (DPA) — Sustalium

Лише англійська: Ця сторінка доступна лише англійською мовою. З питаннями звертайтеся до нас англійською або скористайтеся перекладацьким інструментом.

Document Ref: DPA-POL-2026-V1.1 · Last updated: 31 серпня 2026 р · Governing Law: Нідерланди

Цей Додатковий договір щодо обробки даних («DPA») є частиною Генеральної угоди про надання послуг («MSA») між Sustalium B.V., Winkelstede 60, 2543BR, Den Haag, The Netherlands («Обробник») та Клієнтом, як визначено в MSA («Контролер»).

1. визначення

Терміни, не визначені в цьому DPA, мають значення, викладене в MSA.

  • «Чинний закон захист даних» означає GDPR (EU 2016/679), Голландський закон про впровадження GDPR та будь-які інші застосовні закони про конфіденційність.
  • «Особисті дані» означає будь-яку інформацію, пов’язану з ідентифікованою або ідентифікованою фізичною особою, яка обробляється Sustalium від імені Клієнта.
  • «Сервіси» означає платформу аналізу відповідності Sustalium і пов’язані служби.
  • «Субпроцесор» означає будь-яку третю сторону, залучену Sustalium для обробки Персональних даних.
  • «SCCs» означає стандартні договірні положення EU (2021/914).

2. Ролі Сторін

  • Клієнт є контролером даних.
  • Sustalium є обробником даних.
  • Sustalium оброблятиме Персональні дані лише за документально оформленими інструкціями від Клієнта.

3. Характер, мета та обсяг обробки

Sustalium обробляє персональні дані виключно для:

  • Надання доступу до платформи Sustalium
  • Створення, перевірка та публікація активів цифрової відповідності
  • Управління обліковими записами користувачів і автентифікація
  • Ведення журналів аудиту
  • Надання клієнтської підтримки
  • Забезпечення безпеки та стійкості платформи

Sustalium є <strong>галузевим агностиком</strong> і обробляє лише <strong>персональні дані ділового контексту</strong>.

4. Категорії персональних даних

Як зазначено Замовником або його користувачами:

  • Прізвища співробітників
  • Робочі електронні адреси
  • Ролі та назви посад
  • Контактні дані постачальника
  • Ідентифікатори облікових записів користувачів
  • IP-адреси та метадані пристрою
  • Документи відповідності, завантажені користувачами (можуть містити особисті дані)
  • Журнали аудиту та позначки часу

Sustalium <strong>не</strong> обробляє дані спеціальних категорій.

5. Категорії суб'єктів даних

  • Співробітники замовника
  • Співробітники постачальника
  • Підрядники
  • Користувачі платформи
  • Аудитори (якщо надано доступ)

6. Зобов'язання процесора

Sustalium:

6.1. Обробляти тільки за інструкцією

Обробляти Персональні дані лише за вказівками Клієнта.

6.2. Конфіденційність

Переконайтеся, що персонал зобов'язаний дотримуватися конфіденційності.

6.3. Заходи безпеки

Запровадити технічні та організаційні заходи («TOMs»), описані в Додатку II, зокрема: обов’язковий MFA для адміністративного доступу, логічну ізоляцію даних між клієнтами, зашифроване автоматизоване щоденне резервне копіювання та щорічне тестування на проникнення.

6.4. Суб-процесори

Використовуйте лише затверджені субпроцесори, перелічені в Додатку III.

6.5. Допомога контролеру

Допомога Клієнту із запитами суб’єктів даних, зобов’язаннями щодо безпеки, сповіщеннями про порушення та DPIA (де це можливо).

6.6. Видалення або повернення

Після припинення дії видаліть або поверніть Персональні дані, якщо їх збереження не вимагається законом.

7. Суб-процесори

Клієнт уповноважує Sustalium використовувати Суб-процесори, перелічені в Додатку III.

  • Переконайтеся, що субпроцесори пов’язані еквівалентними зобов’язаннями захист даних
  • Повідомити Клієнта про будь-які заплановані зміни
  • Несуть повну відповідальність за дії субпроцесора

8. Міжнародні перекази

Sustalium primarily stores data in EU GCP regions. However, certain Sub‑processors (e.g., Auth0, Microsoft SharePoint) may involve non‑EU data transfers.

  • Застосовуються Стандартні договірні положення EU 2021 (SCC), які включені в Додаток IV.
  • Sustalium реалізує додаткові заходи (шифрування, MFA, строгий контроль доступу).

9. Інциденти безпеки

Sustalium сповістить Клієнта без невиправданої затримки після того, як йому стане відомо про порушення безпеки персональних даних.

  • Характер порушення
  • Категорії уражених даних
  • Ймовірні наслідки
  • Вжиті або запропоновані заходи

10. аудити

Клієнт може перевірити відповідність Sustalium:

  • Один раз на рік
  • З попередженням за 30 днів
  • Без порушення роботи
  • Через перевірку документації або незалежний аудитор

11. Відповідальність

Відповідальність регулюється MSA.

12. Регулююче право

Цей DPA регулюється нідерландським законодавством, а спори передаються до компетентних судів Амстердама, Нідерланди.

Додаток I — Опис обробки

  • Природа: розміщення, структурування, перевірка, публікація активів відповідності
  • Мета: надавати послуги з аналізу відповідності
  • Тривалість: тривалість MSA
  • Типи даних: як зазначено в Розділі 4
  • Суб’єкти даних: як зазначено в розділі 5
  • Дії обробки: зберігання, пошук, структурування, передача, видалення

Додаток II — Технічні та організаційні заходи (TOM)

Повний список заходів див. на нашій сторінці Технічні та організаційні заходи безпеки (TOM).

Додаток III — Схвалені суб-процесори

Суб-процесорпризначенняРозташуванняМеханізм передачі
Google Cloud Platform (GCP) Хостинг, зберігання, резервне копіювання EU Н/З (EU)
Auth0 (Okta) Аутентифікація US SCCs
Microsoft SharePoint (Office 365) Сховище CRM EU/US SCCs
GCS щит CDN/безпека EU Н/З (EU)

Перегляньте наш Список субпроцесорів, щоб отримати повний список і змінити політику.

Додаток IV — Стандартні договірні положення (SCC)

Імплементаційне рішення Комісії EU (EU) 2021/914 SCC включено шляхом посилання та застосовується до всіх передач до субпроцесорів, які не належать до EU.

Запитання? Contact us through our сторінка контактів for any questions about this DPA.