数据处理附录 (DPA) — Sustalium

1. 定义

本 DPA 中未定义的术语具有 MSA 中规定的含义。

• “适用的 数据保护 法律”是指 GDPR (EU 2016/679)、荷兰 GDPR 实施法案以及任何其他适用的隐私法。
• “个人数据”是指 Sustalium 代表客户处理的与已识别或可识别自然人相关的任何信息。
• “服务”指 Sustalium 合规情报平台及相关服务。
• “子处理者”是指 Sustalium 聘请的处理个人数据的任何第三方。
• “SCC”指 EU 标准合同条款 (2021/914)。

2. 各方的角色

• 客户是数据控制者。
• Sustalium 是数据处理器。
• Sustalium 将仅根据客户的书面指示处理个人数据。

3. 处理的性质、目的和范围

Sustalium 仅出于以下目的处理个人数据：

• 提供对 Sustalium 平台的访问
• 创建、验证和发布数字合规资产
• 管理用户帐户和身份验证
• 维护审计跟踪
• 提供客户支持
• 确保平台安全性和弹性

Sustalium<strong>与行业无关</strong>，仅处理<strong>业务背景的个人数据</strong>。

4. 个人数据的类别

由客户或其用户提供：

• 员工姓名
• 工作电子邮件地址
• 角色和职位
• 供应商联系方式
• 用户帐户标识符
• IP 地址和设备元数据
• 用户上传的合规文件（可能包含个人数据）
• 审计日志和时间戳

Sustalium <strong>不</strong>处理特殊类别数据。

5. 数据主体的类别

• 客户员工
• 供应商员工
• 承包商
• 平台用户
• 审核员（如果被授予访问权限）

6. 处理者义务

Sustalium 应：

7. 子处理者

客户授权 Sustalium 使用附件 III 中列出的子处理者。

• 确保分处理者受到同等 数据保护 义务的约束
• 通知客户任何预期的变更
• 对分处理者的行为承担全部责任

8. 国际转账

Sustalium primarily stores data in EU GCP regions. However, certain Sub‑processors (e.g., Auth0, Microsoft SharePoint) may involve non‑EU data transfers.

• 2021 EU 标准合同条款 (SCC) 适用并作为附件 IV 纳入其中。
• Sustalium实施补充措施（加密、MFA、严格访问控制）。

9. 安全事件

Sustalium will notify the Customer without undue delay after becoming aware of a Personal Data Breach. Notification will include:

• 违规行为的性质
• 受影响数据的类别
• 可能的后果
• 已采取或提议的措施

10. 审计

客户可以审核 Sustalium 的合规性：

• 每年一次
• 提前 30 天通知
• 不中断运营
• 通过文件审查或独立审计员

11. 责任

责任由 MSA 管辖。

12. 适用法律

本 DPA 受荷兰法律管辖，争议应提交给荷兰阿姆斯特丹管辖法院。