Gedragscode voor leveranciers

In overeenstemming met de Franse **Sapin II** wet (wet nr. 2016-1691 van **9 december 2016**), onthoudt de leverancier zich van elke vorm van actieve of passieve corruptie, beïnvloeding, hersenschudding en niet-aangegeven belangenverstrengeling.

In het bijzonder zal de leverancier:

1. Biedt geen **giften of uitnodigingen** aan of accepteert deze niet die een beslissing kunnen beïnvloeden en die verder gaan dan wat redelijkerwijs als professioneel gebruikelijk kan worden beschouwd (indicatief maximum: **€80** per persoon en per kalenderjaar);
2. Betaalt of vraagt geen smeergeld;
3. Maakt geen gebruik van **een tussenpersoon of lege vennootschap** om de anticorruptieregels te omzeilen;
4. Geeft elke **familie-, financiële of kapitaalband** met een Stayinto werknemer of manager aan, zodra deze bekend wordt;
5. Voldoet aan **internationale sancties** (EU, VN, OFAC) en beperkende maatregelen ter bestrijding van het witwassen van geld en de financiering van terrorisme.

De leverancier die ten behoeve van Stayinto persoonsgegevens verwerkt, doet dit in de hoedanigheid van **subverwerker** in de zin van artikel **28 van de AVG**. Daartoe ondertekent hij een **gegevensverwerkingsovereenkomst (DPA)**, die bij het contract is gevoegd, en verbindt hij zich ertoe om:

- De gegevens **alleen** te verwerken op gedocumenteerde instructie van Stayinto;
- Passende **technische en organisatorische maatregelen** te treffen (encryptie bij doorgifte en in rust, toegangsbeheer per rol, logging, hersteltests);
- Alleen een **verdere onderaannemer** in te schakelen met voorafgaande schriftelijke toestemming van Stayinto;
- **De gegevens standaard te lokaliseren** binnen de Europese Unie of in een land waarvoor een adequaatheidsbesluit geldt. Elke doorgifte buiten de EU is onderworpen aan een specifiek kader (**standaard contractuele clausules** van de Europese Commissie, **BCR**, **Schrems II** analyse);
- **Breng Stayinto binnen **48 uur** op de hoogte van een inbreuk op zijn gegevens, in overeenstemming met artikel **33 van de GDPR**;
- **Reproduceer of vernietig** de gegevens aan het einde van het contract, met bewijs van vernietiging op verzoek.

De leverancier die toegang heeft tot het informatiesysteem van Stayinto, of die gegevens van Stayinto host, implementeert een beveiligingsniveau dat overeenkomt met de stand van de techniek (**ISO 27001** standaard, **ANSSI** gids). Het garandeert :

- Een **toegangsbeheer** beleid gebaseerd op *least privilege* en **twee-factor** authenticatie;
- Een **scheiding** van de ontwikkel-, acceptatie- en productieomgevingen;
- Actieve **monitoring** van de kwetsbaarheden van de gebruikte componenten en een gedocumenteerde patchcyclus;
- De **omkeerbaarheid** van de service (export van gegevens in een standaardformaat, documentatie van schema's, overgangsperiode van ten minste **drie maanden**);
- De **traceerbaarheid** van beheershandelingen en het bewaren van logboeken gedurende de toepasselijke wettelijke periode.

In overeenstemming met de Europese **IA Act** verordening (Verordening (EU) 2024/1689), verplicht elke leverancier die kunstmatige intelligentie systemen of foundation modellen aanbiedt aan Stayinto zich om:

- Duidelijk het **risiconiveau** van zijn systeem te documenteren in de zin van de verordening;
- Voor **systemen met een hoog risico** de technische documentatie te verstrekken die is opgenomen in bijlage IV van de verordening;
- Elk **verboden** gebruik te verbieden (sociale classificatie, voorspellend politiewerk buiten het toepassingsgebied, gevoelige biometrische categorisatie buiten het toepassingsgebied van de uitzonderingen);
- Stayinto **vóór ingebruikname** te informeren over elke materiële wijziging in de trainingsgegevens of de architectuur van het model.

Stayinto behoudt zich het recht voor om ten minste eenmaal per jaar een audit uit te voeren op de uitgevoerde controles en indien nodig een onafhankelijke auditor in te schakelen op kosten van de leverancier in geval van een significante afwijking.

In overeenstemming met ons **Duurzaamheidsbeleid** verplicht de leverancier zich om:

- De **milieuvoorschriften** die van toepassing zijn op zijn activiteiten na te leven;
- Het energieverbruik en afval in verband met de dienstverlening aan Stayinto zoveel mogelijk te beperken;
- Op verzoek de **oorsprong** van geleverde goederen (ertsen, hout, textiel, elektronische componenten) kunnen **documenteren**;
- In het kader van de **CSRD** en de **zorgplicht** (wet nr. 2017-399 van **27 maart 2017**) meewerken aan onderzoeken die Stayinto uitvoert bij tier 1- en tier 2-leveranciers.

Iedere persoon - werknemer van Stayinto, werknemer van een leverancier, derde - kan te goeder trouw een schending van deze Code of toepasselijke wetgeving melden, zonder angst voor represailles, via het volgende adres:

- **Email**: Schrijf ons

Meldingen worden **vertrouwelijk** behandeld door de juridische afdeling van Stayinto (of door een externe referent als de melding betrekking heeft op de afdeling zelf). De identiteit van de klokkenluider wordt beschermd in overeenstemming met de Franse wet **nr. 2022-401 van 21 maart 2022** en richtlijn **(EU) 2019/1937**.

De leverancier verplicht zich **om een werknemer of onderaannemer niet te straffen**, te ontslaan of te discrimineren voor het te goeder trouw melden van een overtreding aan Stayinto.

Stayinto kan te allen tijde de naleving van deze Code controleren:

1. Door het versturen van een **geschreven vragenlijst** (zelfevaluatie);
2. Door gerichte **bewijsstukken** op te vragen;
3. Door een **audit op locatie**, uitgevoerd door Stayinto of een daartoe gemandateerde derde partij, met inachtneming van een redelijke opzegtermijn van **vijftien (15) kalenderdagen**.

In geval van een overtreding kan Stayinto, afhankelijk van de ernst:

- Een **herstelplan** met een nauwkeurig tijdschema vragen;
- **De lopende orders geheel of gedeeltelijk opschorten;
- **Het contract ten nadele van de leverancier opzeggen, met onmiddellijke ingang bij ernstige overtredingen.

Voor vragen over deze code kunt u contact met ons opnemen:

- **Compliance en ethiek**: Schrijf ons
- **Legal department**: Schrijf ons
- **Confidential reporting**:
Schrijf ons
- **Postadres** : OPIDUN,
11 rue de Magdebourg, 75016 Paris, France

Acceptatie van deze Code blijkt uit de **ondertekening ervan als bijlage** bij het raamcontract, of uit de **effectieve start van de dienst** na mededeling van het document aan de leverancier.