Smlouva o zpracování osobních údajů (DPA) — Příloha 1 k Podmínkám užívání

Verze 1.0 — 3. listopadu 2026. Tato smlouva (umowa powierzenia przetwarzania danych osobowych, článek 28 GDPR) se uzavírá mezi Společností, která má účet PolyMatch (dále jen „Klient“), a [Jméno PŘÍJMENÍ], [adresa sídla], Polsko, NIP [NIP] (dále jen „PolyMatch“). Přijímá ji společně s Podmínkami užívání osoba oprávněná zavazovat Klienta; datovanou kopii na jméno Klienta lze stáhnout v sekci Moje firma.

1. Předmět a rozsah

1.1 Tato smlouva upravuje zpracování osobních údajů třetích osob, které jsou obsaženy v obsahu, jenž Klient nahrává na Platformu nebo do ní zadává (dále jen „Údaje Klienta“), prováděné společností PolyMatch jménem Klienta: kontaktní údaje jeho subdodavatelů, zákazníků nebo partnerů, osoby uvedené v jeho dokumentech, zprávách, projektech nebo nabídkách.

1.2 Údaji Klienta nejsou následující údaje, které PolyMatch zpracovává jako samostatný správce v souladu se Zásadami ochrany osobních údajů: účty Uživatelů Klienta, identifikační a evidenční údaje Společnosti, technické údaje Gradů, Projekty v jejich technickém rozměru, Poptávky, Shody a pořadí, fakturace, bezpečnostní záznamy a záznamy aktivity, souhlasy. Klient a PolyMatch jsou každý samostatným správcem údajů vyměňovaných mezi Společnostmi po Odemknutí.

1.3 Popis zpracování: povaha — hostování, ukládání, zobrazování Klientovi a jeho Uživatelům, předávání Společnostem, s nimiž se Klient prostřednictvím Platformy propojí, automatický překlad zpráv, zálohování; účel — poskytování služeb popsaných v Podmínkách; doba trvání — doba trvání smlouvy; kategorie subjektů údajů — pracovní kontakty subdodavatelů, zákazníků a partnerů Klienta, osoby zmíněné jeho Uživateli; kategorie údajů — profesní totožnost, funkce, pracovní kontaktní údaje, obsah zpráv a dokumentů; zvláštní kategorie údajů (článek 9 GDPR) se nepředpokládají a Klient se zavazuje žádné takové údaje nenahrávat.

2. Pokyny Klienta

2.1 PolyMatch zpracovává Údaje Klienta pouze na základě doložených pokynů Klienta. Pokyny jsou: Podmínky užívání, tato smlouva a úkony, které Klient a jeho Uživatelé provádějí na Platformě (nahrání, sdílení, odeslání, smazání).

2.2 Pokud se PolyMatch domnívá, že určitý pokyn porušuje GDPR nebo jiné předpisy o ochraně údajů, bez zbytečného odkladu o tom Klienta informuje. PolyMatch může zpracovávat Údaje Klienta bez pokynu, pokud mu to ukládá právo Unie nebo členského státu; v takovém případě o tom Klienta informuje, ledaže to právo zakazuje.

3. Povinnosti Klienta

Klient odpovídá za to, že má pro Údaje Klienta právní základ, že subjekty údajů informoval, že jeho pokyny jsou zákonné a že Údaje Klienta omezuje na nezbytné minimum. Na žádosti subjektů údajů a orgánů veřejné moci týkající se Údajů Klienta odpovídá výhradně on, s pomocí společnosti PolyMatch podle článku 6.

4. Povinnosti společnosti PolyMatch

4.1 Důvěrnost: osoby oprávněné zpracovávat Údaje Klienta jsou vázány povinností mlčenlivosti na základě smlouvy nebo zákona; přístup je omezen na to, co je nezbytné pro provoz a podporu.

4.2 Zabezpečení: PolyMatch zavádí technická a organizační opatření uvedená v Příloze A a přizpůsobuje je vývoji rizik, aniž by snižoval jejich celkovou úroveň.

4.3 Záznamy a spolupráce: PolyMatch vede záznamy o kategoriích činností zpracování prováděných pro Klienta a na požádání spolupracuje s dozorovým úřadem.

5. Další zpracovatelé

5.1 Klient uděluje obecné povolení k zapojení dalších zpracovatelů uvedených v Příloze B, která přebírá seznam zveřejněný v Zásadách ochrany osobních údajů.

5.2 PolyMatch informuje Klienta e-mailem o jakémkoli přidání nebo nahrazení nejméně třicet dní před nabytím jeho účinnosti. Klient může v této lhůtě vznést písemnou námitku z oprávněných důvodů týkajících se ochrany údajů; nedojde-li k dohodě, může Klient smlouvu ukončit před nabytím účinnosti změny, a to bez sankce.

5.3 PolyMatch ukládá každému dalšímu zpracovateli smluvně povinnosti v oblasti ochrany údajů rovnocenné svým vlastním povinnostem a vůči Klientovi odpovídá za jejich plnění.

6. Součinnost a práva subjektů údajů

6.1 S ohledem na povahu zpracování je PolyMatch Klientovi nápomocen při vyřizování žádostí subjektů údajů, které uplatňují svá práva (přístup, oprava, výmaz, omezení, přenositelnost, námitka). Klient má na Platformě k dispozici prostředky k nahlížení do Údajů Klienta, jejich opravě a výmazu; PolyMatch zasahuje na písemnou žádost u toho, co Platforma neumožňuje, a to do deseti pracovních dnů.

6.2 Obrátí-li se subjekt údajů přímo na PolyMatch ohledně Údajů Klienta, PolyMatch žádost postoupí Klientovi, aniž by na ni věcně odpověděl, ledaže mu to ukládá zákon.

6.3 PolyMatch je Klientovi v rozsahu informací, které má k dispozici, nápomocen při plnění jeho povinností v oblasti zabezpečení, ohlašování porušení a posouzení vlivu (články 32 až 36 GDPR).

7. Porušení zabezpečení údajů

PolyMatch ohlásí Klientovi jakékoli porušení zabezpečení osobních údajů, které se týká Údajů Klienta, bez zbytečného odkladu a nejpozději do čtyřiceti osmi hodin poté, co se o něm dozvěděl, e-mailem Správcům Klienta. Ohlášení popisuje povahu porušení, kategorie a přibližný počet dotčených subjektů údajů a záznamů, pravděpodobné důsledky, přijatá nebo navrhovaná opatření a kontaktní místo; informace, které dosud nejsou k dispozici, se poskytnou, jakmile budou k dispozici.

8. Předávání mimo Evropskou unii

Údaje Klienta jsou hostovány v Evropské unii. Jakékoli předání do třetí země dalším zpracovatelem se opírá o rozhodnutí o odpovídající ochraně nebo o standardní smluvní doložky Evropské komise s vhodnými doplňujícími opatřeními; Příloha B uvádí záruku použitelnou pro každého dalšího zpracovatele.

9. Audit

9.1 PolyMatch poskytuje Klientovi informace nezbytné k doložení souladu s touto smlouvou: popis bezpečnostních opatření, seznam dalších zpracovatelů, odpovědi na písemný dotazník jednou ročně.

9.2 Audit na místě nebo audit nezávislou třetí osobou je možný jednou ročně, nebo po porušení zabezpečení údajů či na žádost orgánu veřejné moci, s písemným oznámením třicet dní předem, v pracovní době, bez narušení provozu a bez zpřístupnění údajů jiných klientů, na náklady Klienta. Zjištění jsou důvěrná.

10. Ukončení zpracování

10.1 Po skončení smlouvy PolyMatch vymaže Údaje Klienta do třiceti dní, ledaže se uplatní zákonná povinnost uchování; v takovém případě se údaje uchovávají odděleně až do zániku této povinnosti. Klient si své údaje před skončením smlouvy sám vyexportuje pomocí funkcí Platformy.

10.2 Údaje Klienta, které již byly na pokyn Klienta předány jiné Společnosti prostřednictvím Odemknutí, Nabídky nebo sdílení dokumentů, zůstávají u této Společnosti, která je jejich správcem. Další evidence Gradů po skončení smlouvy (článek 12.5 Podmínek) se týká technických a firemních údajů, které nejsou Údaji Klienta.

11. Odpovědnost a doba trvání

11.1 Odpovědnost každé ze stran podle této smlouvy podléhá omezením podle článku 13 Podmínek užívání, ledaže kogentní ustanovení GDPR stanoví jinak.

11.2 Tato smlouva se uplatní po celou dobu trvání smlouvy a až do vymazání Údajů Klienta. Řídí se polským právem; v případě rozporu s Podmínkami v otázce týkající se osobních údajů má přednost tato smlouva.

Příloha A — Technická a organizační opatření

• Hostování údajů a souborů v Evropské unii (Irsko) u poskytovatele certifikovaného podle ISO 27001 a SOC 2.
• Šifrování komunikace (TLS 1.2 nebo vyšší) a uložených údajů.
• Oddělení údajů podle Společnosti a podle role, vynucované na úrovni databáze (řízení přístupu na úrovni řádků); žádný přímý přístup z prohlížeče k citlivým tabulkám; citlivé funkce spustitelné pouze serverem.
• Ověřování hašovaným heslem, ochrana proti kompromitovaným heslům, vypršení relace po 7 dnech nečinnosti, kontrola proti robotům při registraci, přihlášení a obnovení hesla, omezení četnosti požadavků.
• Přístup k souborům prostřednictvím časově omezených podepsaných odkazů; evidence dokumentů sdílených mezi Společnostmi.
• Technická tajemství uchovávaná ve vyhrazeném trezoru, nikdy v kódu; jmenovitý a zaznamenávaný přístup správců.
• Šifrované zálohy, kopie souborů u druhého poskytovatele; postup obnovy.
• Zaznamenávání úkonů a chyb; upozornění, pokud se nepodaří odeslat smluvní sdělení.
• Vývoj s automatizovanými testy, revizí a bezpečnostními kontrolami před každým vydáním; bezpečnostní audit před spuštěním a po každé významné změně.
• Další zpracovatelé vázaní smlouvou o zpracování osobních údajů; ověřování jejich certifikací a záruk pro předávání.
• Postup řešení porušení zabezpečení: odhalení, omezení, analýza, ohlášení (článek 7), nápravná opatření.

Příloha B — Další zpracovatelé

Seznam přístupný Klientům v sekci Moje firma (Smluvní dokumenty). Jakákoli změna se řídí postupem podle článku 5.