Споразумение за обработване на данни (DPA) — Приложение 1 към Условията за ползване

Версия 1.0 — 3 ноември 2026 г. Настоящото споразумение (umowa powierzenia przetwarzania danych osobowych, член 28 от GDPR) се сключва между Компанията, притежаваща акаунт в PolyMatch („Клиентът“), и [Име ФАМИЛИЯ], [адрес на управление], Полша, NIP [NIP] („PolyMatch“). То се приема заедно с Условията за ползване от лице, оправомощено да обвързва Клиента; датирано копие на името на Клиента може да бъде изтеглено от „Моята компания“.

1. Предмет и обхват

1.1 Настоящото споразумение урежда обработването от PolyMatch, от името на Клиента, на лични данни на трети лица, съдържащи се в съдържанието, което Клиентът качва или въвежда в Платформата („Данни на Клиента“): данни за контакт с неговите подизпълнители, клиенти или партньори, лица, посочени в неговите документи, съобщения, проекти или оферти.

1.2 Не представляват Данни на Клиента и се обработват от PolyMatch като самостоятелен администратор на лични данни в съответствие с Политиката за поверителност: акаунтите на Потребителите на Клиента, идентификационните данни и данните за вписване на Компанията, техническите данни на Грейдовете, Проектите в тяхното техническо измерение, Запитванията, Съвпаденията и класиранията, фактурирането, журналите за сигурност и активност, съгласията. Клиентът и PolyMatch са всеки самостоятелни администратори на лични данни по отношение на данните, обменяни между Компаниите след Отключване.

1.3 Описание на обработването: естество — хостинг, съхранение, показване на Клиента и на неговите Потребители, предаване на Компаниите, с които Клиентът се свързва чрез Платформата, автоматичен превод на съобщения, резервно копиране; цел — предоставяне на услугите, описани в Условията; срок — срокът на договора; категории субекти на данни — служебни лица за контакт на подизпълнителите, клиентите и партньорите на Клиента, лица, посочени от неговите Потребители; категории данни — професионална самоличност, длъжност, служебни данни за контакт, съдържание на съобщения и документи; не се очакват специални категории данни (член 9 от GDPR) и Клиентът се задължава да не качва такива.

2. Указания на Клиента

2.1 PolyMatch обработва Данните на Клиента само по документирани указания на Клиента. Указанията са: Условията за ползване, настоящото споразумение и действията, които Клиентът и неговите Потребители извършват в Платформата (качване, споделяне, изпращане, изтриване).

2.2 Ако PolyMatch счита, че дадено указание нарушава GDPR или други разпоредби относно защитата на данните, той незабавно уведомява Клиента. PolyMatch може да обработва Данни на Клиента без указание, когато правото на Съюза или на държава членка го изисква; в такъв случай той уведомява Клиента, освен ако законът не го забранява.

3. Задължения на Клиента

Клиентът гарантира, че разполага с правно основание за Данните на Клиента, че е информирал субектите на данни, че указанията му са законосъобразни и че ограничава Данните на Клиента до необходимото. Единствено той отговаря на исканията на субектите на данни и на органите относно Данните на Клиента, със съдействието на PolyMatch съгласно член 6.

4. Задължения на PolyMatch

4.1 Поверителност: лицата, оправомощени да обработват Данни на Клиента, са обвързани със задължение за поверителност по силата на договор или на закона; достъпът е ограничен до необходимото за работата и поддръжката.

4.2 Сигурност: PolyMatch прилага техническите и организационните мерки от Приложение A и ги адаптира към развитието на рисковете, без да намалява общото им ниво.

4.3 Регистри и сътрудничество: PolyMatch поддържа регистър на категориите дейности по обработване, извършвани за Клиента, и при поискване сътрудничи с надзорния орган.

5. Подобработващи

5.1 Клиентът дава общо разрешение за използването на подобработващите, изброени в Приложение B, което възпроизвежда списъка, публикуван в Политиката за поверителност.

5.2 PolyMatch уведомява Клиента по електронна поща за всяко добавяне или замяна най-малко тридесет дни преди влизането им в сила. Клиентът може да възрази писмено, на законни основания, свързани със защитата на данните, в този срок; при липса на съгласие Клиентът може да прекрати договора преди влизането на промяната в сила, без неустойка.

5.3 PolyMatch налага договорно на всеки подобработващ задължения за защита на данните, равностойни на собствените му, и остава отговорен пред Клиента за тяхното изпълнение.

6. Съдействие и права на субектите на данни

6.1 Като взема предвид естеството на обработването, PolyMatch съдейства на Клиента при отговора на искания на субекти на данни, упражняващи своите права (достъп, коригиране, изтриване, ограничаване, преносимост, възражение). Клиентът разполага в Платформата със средства за преглед, коригиране и изтриване на Данните на Клиента; PolyMatch се намесва по писмено искане за това, което Платформата не позволява, в срок от десет работни дни.

6.2 Ако субект на данни се свърже пряко с PolyMatch относно Данни на Клиента, PolyMatch препраща искането на Клиента, без да отговаря по същество, освен ако законът не го изисква.

6.3 PolyMatch съдейства на Клиента, доколкото позволява наличната му информация, за спазването на неговите задължения относно сигурността, уведомяването за нарушения и оценката на въздействието (членове 32 до 36 от GDPR).

7. Нарушения на сигурността на данните

PolyMatch уведомява Клиента за всяко нарушение на сигурността на личните данни, засягащо Данни на Клиента, без неоправдано забавяне и най-късно четиридесет и осем часа след като е узнал за него, по електронна поща до Администраторите на Клиента. Уведомлението описва естеството на нарушението, категориите и приблизителния брой на засегнатите субекти на данни и записи, вероятните последици, предприетите или предложените мерки, както и звеното за контакт; информацията, която все още не е налична, се предоставя веднага щом стане налична.

8. Предаване извън Европейския съюз

Данните на Клиента се хостват в Европейския съюз. Всяко предаване към трета държава от подобработващ се основава на решение относно адекватното ниво на защита или на стандартните договорни клаузи на Европейската комисия, с подходящи допълнителни мерки; Приложение B посочва гаранцията, приложима за всеки подобработващ.

9. Одит

9.1 PolyMatch предоставя на Клиента информацията, необходима за доказване на спазването на настоящото споразумение: описание на мерките за сигурност, списък на подобработващите, отговори на писмен въпросник веднъж годишно.

9.2 Одит на място или одит от независима трета страна е възможен веднъж годишно, или след нарушение на сигурността на данните, или по искане на орган, с писмено предизвестие от тридесет дни, в работно време, без да се нарушава дейността и без да се дава достъп до данни на други клиенти, за сметка на Клиента. Констатациите са поверителни.

10. Край на обработването

10.1 При прекратяване на договора PolyMatch изтрива Данните на Клиента в срок от тридесет дни, освен ако не се прилага законово задължение за съхранение, като в този случай данните се съхраняват изолирано до изтичането на това задължение. Клиентът сам експортира своите данни преди прекратяването на договора чрез функциите на Платформата.

10.2 Данните на Клиента, които вече са предадени по указание на Клиента на друга Компания чрез Отключване, Оферта или споделяне на документи, остават при тази Компания, която е техен администратор на лични данни. Продължаващото вписване на Грейдовете след прекратяването на договора (член 12.5 от Условията) засяга техническите и фирмените данни, които не са Данни на Клиента.

11. Отговорност и срок

11.1 Отговорността на всяка от страните по настоящото споразумение подлежи на ограниченията по член 13 от Условията за ползване, освен когато императивни разпоредби на GDPR предвиждат друго.

11.2 Настоящото споразумение се прилага за целия срок на договора и до изтриването на Данните на Клиента. То се урежда от полското право; в случай на противоречие с Условията по въпрос, свързан с личните данни, предимство има настоящото споразумение.

Приложение A — Технически и организационни мерки

• Хостинг на данните и файловете в Европейския съюз (Ирландия), при доставчик, сертифициран по ISO 27001 и SOC 2.
• Криптиране на комуникациите (TLS 1.2 или по-висока версия) и на съхраняваните данни.
• Разделяне на данните по Компания и по роля, наложено на ниво база данни (контрол на достъпа на ниво ред); липса на пряк достъп от браузъра до чувствителни таблици; чувствителни функции, изпълними само от сървъра.
• Удостоверяване с хеширана парола, защита срещу компрометирани пароли, изтичане на сесията след 7 дни неактивност, проверка срещу ботове при регистрация, влизане и възстановяване на паролата, ограничаване на честотата на заявките.
• Достъп до файловете чрез подписани връзки с ограничена валидност; регистър на документите, споделени между Компаниите.
• Технически тайни, съхранявани в специален трезор, никога в кода; поименен и регистриран достъп на администраторите.
• Криптирани резервни копия, копие на файловете при втори доставчик; процедура за възстановяване.
• Регистриране на действията и грешките; сигнал при неуспешно изпращане на договорно съобщение.
• Разработка с автоматизирани тестове, преглед и защитни механизми за сигурност преди всяко пускане на нова версия; одит на сигурността преди старта и след всяка съществена промяна.
• Подобработващи, обвързани със споразумение за обработване на данни; проверка на техните сертификати и гаранции при предаване.
• Процедура за управление на нарушения: откриване, ограничаване, анализ, уведомяване (член 7), коригиращи мерки.

Приложение B — Подобработващи

Списък, достъпен за Клиентите в „Моята компания“ (Договорни документи). Всяка промяна следва процедурата по член 5.