Verhaltenskodex für Lieferanten

In Übereinstimmung mit dem französischen Gesetz **Sapin II** (Gesetz Nr. 2016-1691 vom **9. Dezember 2016**) verbietet der Anbieter jede Form von aktiver oder passiver Korruption, Einflusshandel, Bestechung und nicht offengelegte Interessenkonflikte.

Insbesondere wird der Anbieter:

1. Bietet oder akzeptiert keine **Geschenke oder Einladungen**, die eine Entscheidung beeinflussen könnten, die über die angemessene Geschäftspraxis hinausgehen (Richtwert: **80 €** pro Person und Kalenderjahr);
2. Keine **Schleusenprovisionen** (*Kickbacks*) zahlen oder fordern;
3. Benutzt **keine Mittelsmänner oder Scheinfirmen**, um Antikorruptionsregeln zu umgehen;
4. Meldet jede **familiäre, finanzielle oder kapitalistische Beziehung** zu einem Mitarbeiter oder einer Führungskraft von Stayinto, sobald er/sie davon Kenntnis hat;
5. Beachtet die **internationalen Sanktionen** (EU, UNO, OFAC) und die restriktiven Maßnahmen zur Bekämpfung der Geldwäsche und der Terrorismusfinanzierung.

Der Anbieter, der personenbezogene Daten im Auftrag von Stayinto verarbeitet, tut dies als **Unterverarbeiter** im Sinne von Artikel **28 der DSGVO**. Er unterzeichnet zu diesem Zweck eine **Datenverarbeitungsvereinbarung (DVV)**, die dem Vertrag beigefügt ist, und verpflichtet sich zu :

- Die Daten **nur** auf dokumentierte Anweisung von Stayinto zu verarbeiten;
- Angemessene **technische und organisatorische Maßnahmen** (Verschlüsselung bei der Übertragung und im Ruhezustand, rollenbasierte Zugriffsverwaltung, Protokollierung, Wiederherstellungstests) einzurichten;
- Einen **Weiterverarbeiter** nur mit vorheriger schriftlicher Genehmigung von Stayinto einzusetzen;
- **Lokalisierung** der Daten standardmäßig innerhalb der Europäischen Union oder in einem Land, das über einen Angemessenheitsbeschluss verfügt. Jede Übermittlung außerhalb der EU unterliegt besonderen Rahmenbedingungen (**Standardvertragsklauseln** der Europäischen Kommission, **BCR**, Analyse **Schrems II**);
- **Benachrichtigung** von Stayinto innerhalb von **48 Stunden** über jede ihn betreffende Datenverletzung gemäß Artikel **33 der DSGVO**;
- **Rückgabe oder Vernichtung** der Daten bei Vertragsende, wobei die Vernichtung auf Anfrage nachgewiesen werden kann.

Der Anbieter, der auf das Informationssystem von Stayinto zugreift oder Stayinto-Daten hostet, setzt ein Sicherheitsniveau um, das mit dem Stand der Technik (Referenzsystem **ISO 27001**, Leitfaden **ANSSI**) übereinstimmt. Er gewährleistet :

- Eine Politik der **Zugriffsverwaltung**, die auf *least privilege* und **Zwei-Faktor-Authentifizierung** basiert;
- Eine **Trennung** der Entwicklungs-, Rezeptur- und Produktionsumgebungen;
- Eine aktive **Überwachung** der Schwachstellen der verwendeten Komponenten und einen dokumentierten Patch-Zyklus ;
- Die **Reversibilität** der Leistung (Export der Daten in ein Standardformat, Dokumentation der Schemata, Übergangsfrist von mindestens **drei Monaten**);
- Die **Nachvollziehbarkeit** der Administrationsaktionen und die Aufbewahrung der Logs während der anwendbaren gesetzlichen Dauer.

Gemäss der europäischen Verordnung **IA Act** (Verordnung (EU) 2024/1689) verpflichtet sich jeder Anbieter, der Stayinto Systeme mit künstlicher Intelligenz oder Stiftungsmodelle anbietet, zu Folgendem:

- Die **Risikostufe** seines Systems im Sinne der Verordnung klar zu dokumentieren;
- Für Systeme mit **hohem Risiko** die technische Dokumentation gemäß Anhang IV der Verordnung bereitzustellen;
- Jede **verbotene** Nutzung zu untersagen (soziale Bewertung, Predictive Policing außerhalb des Rahmens, sensible biometrische Kategorisierung außerhalb der Ausnahmen);
- Stayinto **vor Inbetriebnahme** über jede materielle Änderung an den Trainingsdaten oder der Architektur des Modells zu informieren.

Stayinto behält sich das Recht vor, die implementierten Kontrollen mindestens einmal jährlich zu überprüfen und gegebenenfalls bei signifikanten Abweichungen auf Kosten des Anbieters einen unabhängigen Prüfer hinzuzuziehen.

In Fortsetzung unserer **Nachhaltigkeitspolitik** verpflichtet sich der Lieferant zu :

- Die für seine Tätigkeiten geltenden **Umweltvorschriften** einzuhalten;
- Den Energieverbrauch und die Abfälle im Zusammenhang mit der für Stayinto erbrachten Leistung so weit wie technisch möglich zu reduzieren;
- Auf Anfrage die Herkunft der gelieferten Güter (Erze, Holz, Textilien, elektronische Bauteile) **dokumentieren** können;
- Im Rahmen der **CSRD** und der **Sorgfaltspflicht** (Gesetz Nr. 2017-399 vom **27. März 2017**) an den von Stayinto veranlassten Untersuchungen bei den Lieferanten der Ränge 1 und 2 mitwirken.

Jede Person - Mitarbeiter von Stayinto, Mitarbeiter des Lieferanten, Dritte - kann in gutem Glauben einen Verstoß gegen diesen Kodex oder geltende Gesetze ohne Angst vor Vergeltungsmaßnahmen über folgende Adresse melden:

- **E-Mail**: Schreiben Sie uns

Die Meldungen werden von der Rechtsabteilung von Stayinto (oder von einem externen Referenten, wenn die Meldung die Abteilung selbst betrifft) **vertraulich** behandelt. Die Identität des Whistleblowers wird gemäß dem französischen Gesetz **Nr. 2022-401 vom 21. März 2022** und der Richtlinie **(EU) 2019/1937** geschützt.

Der Anbieter verpflichtet sich, **einen Arbeitnehmer oder Subunternehmer nicht zu bestrafen**, zu entlassen oder zu diskriminieren, weil er in gutem Glauben einen Verstoß an Stayinto gemeldet hat.

.

Stayinto kann die Einhaltung dieses Kodex jederzeit überprüfen:

1. Durch das Versenden eines schriftlichen **Fragebogens** (Selbsteinschätzung);
2. Durch die Anforderung von gezielten **Belegen**;
3. Durch eine **Vor-Ort-Prüfung**, die von Stayinto oder einem beauftragten Dritten unter Einhaltung einer angemessenen Ankündigungsfrist von **fünfzehn (15) Kalendertagen** durchgeführt wird.

Bei Verstößen kann Stayinto je nach Schweregrad:

- einen **Korrekturplan** mit konkretem Zeitplan verlangen;
- **Aussetzung** aller oder eines Teils der laufenden Bestellungen;
- **Kündigung** des Vertrags zu Lasten des Lieferanten, bei schwerwiegenden Verstößen mit sofortiger Wirkung.

.

Bei Fragen zu diesem Kodex können Sie uns kontaktieren:

- **Compliance und Ethik**: Schreiben Sie uns
- **Rechtsabteilung**: Schreiben Sie uns
- **Vertrauliches Signal**:
Schreiben Sie uns
- **Postadresse**: OPIDUN,
11 rue de Magdebourg, 75016 Paris, France

Die Annahme dieses Kodex erfolgt entweder durch **Unterzeichnung als Anhang** des Rahmenvertrags oder durch **eigentlichen Beginn der Dienstleistung** nach Übermittlung des Dokuments an den Anbieter.

.