Databehandleraftale (DPA) — Bilag 1 til Brugsvilkårene

Version 1.0 — 3. november 2026. Denne aftale (umowa powierzenia przetwarzania danych osobowych, artikel 28 i GDPR) indgås mellem den Virksomhed, der har en PolyMatch-konto ("Kunden"), og [Fornavn EFTERNAVN], [hjemstedsadresse], Polen, NIP [NIP] ("PolyMatch"). Den accepteres sammen med Brugsvilkårene af en person, der er bemyndiget til at forpligte Kunden; et dateret eksemplar i Kundens navn kan downloades fra Min virksomhed.

1. Genstand og anvendelsesområde

1.1 Denne aftale regulerer PolyMatchs behandling på Kundens vegne af personoplysninger om tredjemand, der er indeholdt i det indhold, som Kunden uploader eller indtaster på Platformen ("Kundedata"): kontaktoplysninger om dennes underleverandører, kunder eller samarbejdspartnere samt personer, der er nævnt i dennes dokumenter, beskeder, projekter eller tilbud.

1.2 Følgende er ikke Kundedata og behandles af PolyMatch som selvstændig dataansvarlig i overensstemmelse med Privatlivspolitikken: konti for Kundens Brugere, Virksomhedens identifikations- og opførelsesdata, Kvaliteternes tekniske data, Projekter i deres tekniske dimension, Forespørgsler, Matches og rangordninger, fakturering, sikkerheds- og aktivitetslogge samt samtykker. Kunden og PolyMatch er hver især selvstændige dataansvarlige for de oplysninger, der udveksles mellem Virksomheder efter en Oplåsning.

1.3 Beskrivelse af behandlingen: art — hosting, lagring, visning for Kunden og dennes Brugere, videregivelse til de Virksomheder, som Kunden sætter sig i forbindelse med via Platformen, automatisk oversættelse af beskeder, sikkerhedskopiering; formål — levering af de tjenester, der er beskrevet i Vilkårene; varighed — aftalens løbetid; kategorier af registrerede — erhvervsmæssige kontaktpersoner hos Kundens underleverandører, kunder og samarbejdspartnere samt personer nævnt af dennes Brugere; kategorier af oplysninger — erhvervsmæssig identitet, funktion, erhvervsmæssige kontaktoplysninger, indhold af beskeder og dokumenter; der forventes ingen særlige kategorier af oplysninger (artikel 9 i GDPR), og Kunden forpligter sig til ikke at uploade sådanne.

2. Kundens instrukser

2.1 PolyMatch behandler kun Kundedata efter Kundens dokumenterede instrukser. Instrukserne er: Brugsvilkårene, denne aftale og de handlinger, som Kunden og dennes Brugere udfører på Platformen (upload, deling, afsendelse, sletning).

2.2 Hvis PolyMatch finder, at en instruks er i strid med GDPR eller andre databeskyttelsesbestemmelser, underretter PolyMatch straks Kunden. PolyMatch kan behandle Kundedata uden instruks, når EU-retten eller medlemsstaternes nationale ret kræver det; PolyMatch underretter da Kunden, medmindre loven forbyder dette.

3. Kundens forpligtelser

Kunden indestår for, at denne har et retsgrundlag for Kundedataene, at denne har oplyst de registrerede, at dennes instrukser er lovlige, og at denne begrænser Kundedata til det nødvendige. Kunden besvarer alene anmodninger fra registrerede og myndigheder vedrørende Kundedata med PolyMatchs bistand i henhold til artikel 6.

4. PolyMatchs forpligtelser

4.1 Fortrolighed: personer, der er autoriseret til at behandle Kundedata, er underlagt tavshedspligt i henhold til aftale eller lov; adgangen er begrænset til det, der er nødvendigt for drift og support.

4.2 Sikkerhed: PolyMatch gennemfører de tekniske og organisatoriske foranstaltninger i Bilag A og tilpasser dem til udviklingen i risiciene uden at sænke deres samlede niveau.

4.3 Fortegnelser og samarbejde: PolyMatch fører fortegnelsen over kategorier af behandlingsaktiviteter, der udføres for Kunden, og samarbejder efter anmodning med tilsynsmyndigheden.

5. Underdatabehandlere

5.1 Kunden giver en generel godkendelse til anvendelse af de underdatabehandlere, der er opført i Bilag B, som gengiver den liste, der er offentliggjort i Privatlivspolitikken.

5.2 PolyMatch underretter Kunden pr. e-mail om enhver tilføjelse eller udskiftning mindst tredive dage, før den får virkning. Kunden kan inden for denne frist gøre skriftlig indsigelse af legitime databeskyttelsesmæssige grunde; opnås der ikke enighed, kan Kunden opsige aftalen, før ændringen får virkning, uden sanktion.

5.3 PolyMatch pålægger ved aftale hver underdatabehandler databeskyttelsesforpligtelser svarende til PolyMatchs egne og forbliver ansvarlig over for Kunden for deres opfyldelse.

6. Bistand og de registreredes rettigheder

6.1 Under hensyntagen til behandlingens karakter bistår PolyMatch Kunden med at besvare anmodninger fra registrerede, der udøver deres rettigheder (indsigt, berigtigelse, sletning, begrænsning, dataportabilitet, indsigelse). Kunden råder på Platformen over midlerne til at se, rette og slette Kundedata; PolyMatch bistår efter skriftlig anmodning med det, som Platformen ikke giver mulighed for, inden for ti arbejdsdage.

6.2 Hvis en registreret kontakter PolyMatch direkte vedrørende Kundedata, videresender PolyMatch anmodningen til Kunden uden at besvare den i realiteten, medmindre loven kræver det.

6.3 PolyMatch bistår Kunden, i det omfang de oplysninger, PolyMatch har adgang til, gør det muligt, med at overholde dennes forpligtelser vedrørende sikkerhed, anmeldelse af brud og konsekvensanalyse (artikel 32 til 36 i GDPR).

7. Brud på persondatasikkerheden

PolyMatch underretter Kunden om ethvert brud på persondatasikkerheden, der berører Kundedata, uden unødig forsinkelse og senest otteogfyrre timer efter at være blevet bekendt med det, pr. e-mail til Kundens Administratorer. Underretningen beskriver bruddets karakter, kategorierne og det omtrentlige antal berørte registrerede og registreringer, de sandsynlige konsekvenser, de trufne eller foreslåede foranstaltninger samt kontaktpunktet; oplysninger, der endnu ikke foreligger, gives, så snart de foreligger.

8. Overførsler uden for Den Europæiske Union

Kundedata hostes i Den Europæiske Union. Enhver overførsel til et tredjeland foretaget af en underdatabehandler hviler på en tilstrækkelighedsafgørelse eller på Europa-Kommissionens standardkontraktbestemmelser med passende supplerende foranstaltninger; Bilag B angiver den garanti, der gælder for hver underdatabehandler.

9. Revision

9.1 PolyMatch stiller de oplysninger til rådighed for Kunden, der er nødvendige for at påvise overholdelse af denne aftale: beskrivelse af sikkerhedsforanstaltningerne, liste over underdatabehandlere, svar på et skriftligt spørgeskema en gang om året.

9.2 En revision på stedet eller en revision foretaget af en uafhængig tredjemand er mulig en gang om året eller efter et brud på persondatasikkerheden eller efter anmodning fra en myndighed med tredive dages skriftligt varsel, inden for normal arbejdstid, uden at forstyrre driften eller give adgang til andre kunders data og for Kundens regning. Konstateringerne er fortrolige.

10. Ophør af behandlingen

10.1 Ved aftalens ophør sletter PolyMatch Kundedata inden for tredive dage, medmindre der gælder en lovbestemt opbevaringspligt, i hvilket tilfælde oplysningerne opbevares isoleret, indtil denne pligt udløber. Kunden eksporterer selv sine data inden aftalens ophør ved hjælp af Platformens funktioner.

10.2 Kundedata, der efter Kundens instruks allerede er videregivet til en anden Virksomhed gennem en Oplåsning, et Tilbud eller deling af dokumenter, forbliver hos denne Virksomhed, som er dataansvarlig herfor. Den fortsatte opførelse af Kvaliteter efter aftalens ophør (artikel 12.5 i Vilkårene) vedrører tekniske data og virksomhedsdata, som ikke er Kundedata.

11. Ansvar og varighed

11.1 Hver parts ansvar i henhold til denne aftale er underlagt begrænsningerne i artikel 13 i Brugsvilkårene, medmindre ufravigelige bestemmelser i GDPR foreskriver andet.

11.2 Denne aftale gælder i hele aftalens løbetid og indtil Kundedata er slettet. Den er underlagt polsk ret; i tilfælde af modstrid med Vilkårene i et spørgsmål vedrørende personoplysninger har denne aftale forrang.

Bilag A — Tekniske og organisatoriske foranstaltninger

• Hosting af data og filer i Den Europæiske Union (Irland) hos en udbyder certificeret efter ISO 27001 og SOC 2.
• Kryptering af kommunikation (TLS 1.2 eller nyere) og af lagrede data.
• Adskillelse af data pr. Virksomhed og pr. rolle, håndhævet på databaseniveau (adgangskontrol på rækkeniveau); ingen direkte browseradgang til følsomme tabeller; følsomme funktioner kan kun afvikles af serveren.
• Autentificering med hashet adgangskode, beskyttelse mod kompromitterede adgangskoder, udløb af session efter 7 dages inaktivitet, anti-bot-kontrol ved registrering, login og nulstilling af adgangskode, hastighedsbegrænsning.
• Adgang til filer via tidsbegrænsede signerede links; register over dokumenter delt mellem Virksomheder.
• Tekniske hemmeligheder opbevaret i en dedikeret boks, aldrig i koden; navngiven og logget administratoradgang.
• Krypterede sikkerhedskopier, kopi af filer hos en anden udbyder; procedure for gendannelse.
• Logning af handlinger og fejl; advarsel, når en kontraktlig meddelelse ikke kan sendes.
• Udvikling med automatiserede test, gennemgang og sikkerhedsspærrer før hver udgivelse; sikkerhedsrevision før lancering og efter hver større ændring.
• Underdatabehandlere bundet af en databehandleraftale; kontrol af deres certificeringer og overførselsgarantier.
• Procedure for håndtering af brud: opdagelse, inddæmning, analyse, underretning (artikel 7), korrigerende foranstaltninger.

Bilag B — Underdatabehandlere

Listen er tilgængelig for Kunder under Min virksomhed (Kontraktdokumenter). Enhver ændring følger proceduren i artikel 5.