Gedragscode voor leveranciers

Deze code is van toepassing op elke natuurlijke of rechtspersoon die OPIDUN tegen betaling:

- goederen (IT-apparatuur, kantoormeubilair, goederen, verbruiksartikelen...);
- diensten (software publishing, consulting, agentschap, cloudinfrastructuur, intellectuele diensten, logistiek, beveiliging...);
- bemiddelingsdiensten (freelancers, ESN's, tier 1- en tier 2-onderaannemers).

De voorwaarden zijn van toepassing **vanaf het moment dat de leverancier in dienst is getreden** en blijven van kracht gedurende de gehele contractuele relatie, evenals na beëindiging ervan wegens verplichtingen die het contract overleven (vertrouwelijkheid, gegevensbescherming, teruggave van activa).

De leverancier verplicht zich tot naleving van de volgende internationale normen:

- **Universele Verklaring van de Rechten van de Mens** en **grondwettelijke verdragen van de IAO**;
- **Verbod van kinderarbeid** (minimumleeftijd **15 jaar**, of 18 jaar voor gevaarlijk werk);
- **Verbod van dwangarbeid**, schuldslavernij en inbeslagname van identiteitsdocumenten;
- **Vrijheid van vereniging** en recht op collectieve onderhandelingen;
- **Non-discriminatie** op grond van afkomst, geslacht, gezinssituatie, seksuele geaardheid, uiterlijk, achternaam, gezondheidstoestand, handicap, leeftijd, politieke opvattingen, vakbondsactiviteiten of geloofsovertuiging;
- Gezondheid en veiligheid** op het werk, minimaal in overeenstemming met de toepasselijke lokale wetgeving en internationale normen.

De leverancier betaalt zijn werknemers minimaal het wettelijke of collectief overeengekomen loon dat van kracht is in het land waar de dienst wordt verleend. Hij houdt zich aan de plaatselijke wetgeving inzake werktijden en overuren.

In overeenstemming met de Franse **Sapin II** wet (wet nr. 2016-1691 van **9 december 2016**), onthoudt de leverancier zich van elke vorm van actieve of passieve corruptie, beïnvloeding, hersenschudding en niet-aangegeven belangenverstrengeling.

In het bijzonder zal de leverancier:

1. Biedt geen **giften of uitnodigingen** aan of accepteert deze niet die een beslissing kunnen beïnvloeden en die verder gaan dan wat redelijkerwijs als professioneel gebruikelijk kan worden beschouwd (indicatief maximum: **€80** per persoon en per kalenderjaar);
2. Betaalt of vraagt geen smeergeld;
3. Maakt geen gebruik van **een tussenpersoon of lege vennootschap** om de anticorruptieregels te omzeilen;
4. Geeft elke **familie-, financiële of kapitaalband** met een Stayinto werknemer of manager aan, zodra deze bekend wordt;
5. Voldoet aan **internationale sancties** (EU, VN, OFAC) en beperkende maatregelen ter bestrijding van het witwassen van geld en de financiering van terrorisme.

De leverancier die ten behoeve van Stayinto persoonsgegevens verwerkt, doet dit in de hoedanigheid van **subverwerker** in de zin van artikel **28 van de AVG**. Daartoe ondertekent hij een **gegevensverwerkingsovereenkomst (DPA)**, die bij het contract is gevoegd, en verbindt hij zich ertoe om:

- De gegevens **alleen** te verwerken op gedocumenteerde instructie van Stayinto;
- Passende **technische en organisatorische maatregelen** te treffen (encryptie bij doorgifte en in rust, toegangsbeheer per rol, logging, hersteltests);
- Alleen een **verdere onderaannemer** in te schakelen met voorafgaande schriftelijke toestemming van Stayinto;
- **De gegevens standaard te lokaliseren** binnen de Europese Unie of in een land waarvoor een adequaatheidsbesluit geldt. Elke doorgifte buiten de EU is onderworpen aan een specifiek kader (**standaard contractuele clausules** van de Europese Commissie, **BCR**, **Schrems II** analyse);
- **Breng Stayinto binnen **48 uur** op de hoogte van een inbreuk op zijn gegevens, in overeenstemming met artikel **33 van de GDPR**;
- **Reproduceer of vernietig** de gegevens aan het einde van het contract, met bewijs van vernietiging op verzoek.

De leverancier die toegang heeft tot het informatiesysteem van Stayinto, of die gegevens van Stayinto host, implementeert een beveiligingsniveau dat overeenkomt met de stand van de techniek (**ISO 27001** standaard, **ANSSI** gids). Het garandeert :

- Een **toegangsbeheer** beleid gebaseerd op *least privilege* en **twee-factor** authenticatie;
- Een **scheiding** van de ontwikkel-, acceptatie- en productieomgevingen;
- Actieve **monitoring** van de kwetsbaarheden van de gebruikte componenten en een gedocumenteerde patchcyclus;
- De **omkeerbaarheid** van de service (export van gegevens in een standaardformaat, documentatie van schema's, overgangsperiode van ten minste **drie maanden**);
- De **traceerbaarheid** van beheershandelingen en het bewaren van logboeken gedurende de toepasselijke wettelijke periode.

In overeenstemming met de Europese **IA Act** verordening (Verordening (EU) 2024/1689), verplicht elke leverancier die kunstmatige intelligentie systemen of foundation modellen aanbiedt aan Stayinto zich om:

- Duidelijk het **risiconiveau** van zijn systeem te documenteren in de zin van de verordening;
- Voor **systemen met een hoog risico** de technische documentatie te verstrekken die is opgenomen in bijlage IV van de verordening;
- Elk **verboden** gebruik te verbieden (sociale classificatie, voorspellend politiewerk buiten het toepassingsgebied, gevoelige biometrische categorisatie buiten het toepassingsgebied van de uitzonderingen);
- Stayinto **vóór ingebruikname** te informeren over elke materiële wijziging in de trainingsgegevens of de architectuur van het model.

Stayinto behoudt zich het recht voor om ten minste eenmaal per jaar een audit uit te voeren op de uitgevoerde controles en indien nodig een onafhankelijke auditor in te schakelen op kosten van de leverancier in geval van een significante afwijking.

In overeenstemming met ons **Duurzaamheidsbeleid** verplicht de leverancier zich om:

- De **milieuvoorschriften** die van toepassing zijn op zijn activiteiten na te leven;
- Het energieverbruik en afval in verband met de dienstverlening aan Stayinto zoveel mogelijk te beperken;
- Op verzoek de **oorsprong** van geleverde goederen (ertsen, hout, textiel, elektronische componenten) kunnen **documenteren**;
- In het kader van de **CSRD** en de **zorgplicht** (wet nr. 2017-399 van **27 maart 2017**) meewerken aan onderzoeken die Stayinto uitvoert bij tier 1- en tier 2-leveranciers.

Iedere persoon - werknemer van Stayinto, werknemer van een leverancier, derde - kan te goeder trouw een schending van deze Code of toepasselijke wetgeving melden, zonder angst voor represailles, via het volgende adres:

- **Email**: [email protected]

Meldingen worden **vertrouwelijk** behandeld door de juridische afdeling van Stayinto (of door een externe referent als de melding betrekking heeft op de afdeling zelf). De identiteit van de klokkenluider wordt beschermd in overeenstemming met de Franse wet **nr. 2022-401 van 21 maart 2022** en richtlijn **(EU) 2019/1937**.

De leverancier verplicht zich **om een werknemer of onderaannemer niet te straffen**, te ontslaan of te discrimineren voor het te goeder trouw melden van een overtreding aan Stayinto.

Stayinto kan te allen tijde de naleving van deze Code controleren:

1. Door het versturen van een **geschreven vragenlijst** (zelfevaluatie);
2. Door gerichte **bewijsstukken** op te vragen;
3. Door een **audit op locatie**, uitgevoerd door Stayinto of een daartoe gemandateerde derde partij, met inachtneming van een redelijke opzegtermijn van **vijftien (15) kalenderdagen**.

In geval van een overtreding kan Stayinto, afhankelijk van de ernst:

- Een **herstelplan** met een nauwkeurig tijdschema vragen;
- **De lopende orders geheel of gedeeltelijk opschorten;
- **Het contract ten nadele van de leverancier opzeggen, met onmiddellijke ingang bij ernstige overtredingen.

Voor vragen over deze code kunt u contact met ons opnemen:

- **Compliance en ethiek**: [email protected]
- **Legal department**: [email protected]
- **Confidential reporting**:
[email protected]
- **Postadres** : OPIDUN,
11 rue de Magdebourg, 75016 Paris, France

Acceptatie van deze Code blijkt uit de **ondertekening ervan als bijlage** bij het raamcontract, of uit de **effectieve start van de dienst** na mededeling van het document aan de leverancier.