Acuerdo de Encargo del Tratamiento (DPA) — Anexo 1 de las Condiciones de Uso

Versión 1.0 — 3 de noviembre de 2026. El presente acuerdo (umowa powierzenia przetwarzania danych osobowych, artículo 28 del RGPD) se celebra entre la Empresa titular de una cuenta PolyMatch (el "Cliente") y [Nombre APELLIDO], [domicilio social], Polonia, NIP [NIP] ("PolyMatch"). Lo acepta, junto con las Condiciones de Uso, una persona facultada para obligar al Cliente; puede descargarse desde Mi empresa una copia fechada a nombre del Cliente.

1. Objeto y ámbito de aplicación

1.1 El presente acuerdo regula el tratamiento por PolyMatch, por cuenta del Cliente, de los datos personales de terceros contenidos en el contenido que el Cliente carga o introduce en la Plataforma ("Datos del Cliente"): datos de contacto de sus subcontratistas, clientes o socios, personas mencionadas en sus documentos, mensajes, proyectos u ofertas.

1.2 No constituyen Datos del Cliente, y PolyMatch los trata como responsable independiente del tratamiento de conformidad con la Política de Privacidad: las cuentas de los Usuarios del Cliente, los datos de identificación y de inclusión en la Plataforma de la Empresa, los datos técnicos de los Grades, los Proyectos en su dimensión técnica, los Leads, los Matchs y las clasificaciones, la facturación, los registros de seguridad y de actividad, los consentimientos. El Cliente y PolyMatch son cada uno responsables independientes del tratamiento de los datos intercambiados entre Empresas tras un Desbloqueo.

1.3 Descripción del tratamiento: naturaleza — alojamiento, almacenamiento, visualización al Cliente y a sus Usuarios, transmisión a las Empresas con las que el Cliente se pone en contacto a través de la Plataforma, traducción automática de los mensajes, copia de seguridad; finalidad — prestar los servicios descritos en las Condiciones; duración — la vigencia del contrato; categorías de interesados — contactos profesionales de los subcontratistas, clientes y socios del Cliente, personas mencionadas por sus Usuarios; categorías de datos — identidad profesional, cargo, datos de contacto profesionales, contenido de los mensajes y documentos; no se prevé ninguna categoría especial de datos (artículo 9 del RGPD) y el Cliente se compromete a no cargar ninguna.

2. Instrucciones del Cliente

2.1 PolyMatch trata los Datos del Cliente únicamente siguiendo instrucciones documentadas del Cliente. Las instrucciones son: las Condiciones de Uso, el presente acuerdo y las acciones que el Cliente y sus Usuarios realizan en la Plataforma (carga, intercambio, envío, supresión).

2.2 Si PolyMatch considera que una instrucción infringe el RGPD u otras disposiciones en materia de protección de datos, informa de ello al Cliente sin demora. PolyMatch puede tratar Datos del Cliente sin instrucción cuando así lo exija el Derecho de la Unión o de un Estado miembro; en tal caso informa al Cliente, salvo que la ley lo prohíba.

3. Obligaciones del Cliente

El Cliente garantiza que dispone de una base jurídica para los Datos del Cliente, que ha informado a los interesados, que sus instrucciones son lícitas y que limita los Datos del Cliente a lo necesario. Solo él responde a las solicitudes de los interesados y de las autoridades relativas a los Datos del Cliente, con la asistencia de PolyMatch conforme al artículo 6.

4. Obligaciones de PolyMatch

4.1 Confidencialidad: las personas autorizadas a tratar los Datos del Cliente están sujetas a una obligación de confidencialidad, contractual o legal; el acceso se limita a lo necesario para el funcionamiento y la asistencia.

4.2 Seguridad: PolyMatch aplica las medidas técnicas y organizativas del Anexo A y las adapta a la evolución de los riesgos, sin reducir su nivel global.

4.3 Registro y cooperación: PolyMatch lleva el registro de las categorías de actividades de tratamiento efectuadas por cuenta del Cliente y coopera, previa solicitud, con la autoridad de control.

5. Subencargados del tratamiento

5.1 El Cliente otorga una autorización general para recurrir a los subencargados del tratamiento enumerados en el Anexo B, que reproduce la lista publicada en la Política de Privacidad.

5.2 PolyMatch informa al Cliente por correo electrónico de cualquier incorporación o sustitución con al menos treinta días de antelación a su entrada en vigor. El Cliente puede oponerse por escrito, por motivos legítimos relativos a la protección de datos, dentro de dicho plazo; a falta de acuerdo, el Cliente puede resolver el contrato antes de que el cambio surta efecto, sin penalización.

5.3 PolyMatch impone por contrato a cada subencargado obligaciones de protección de datos equivalentes a las suyas y sigue siendo responsable frente al Cliente de su cumplimiento.

6. Asistencia y derechos de los interesados

6.1 Teniendo en cuenta la naturaleza del tratamiento, PolyMatch asiste al Cliente en la respuesta a las solicitudes de los interesados que ejerzan sus derechos (acceso, rectificación, supresión, limitación, portabilidad, oposición). El Cliente dispone, en la Plataforma, de los medios para consultar, corregir y suprimir los Datos del Cliente; PolyMatch interviene, previa solicitud por escrito, para lo que la Plataforma no permita, en un plazo de diez días hábiles.

6.2 Si un interesado se dirige directamente a PolyMatch en relación con Datos del Cliente, PolyMatch remite la solicitud al Cliente sin responder sobre el fondo, salvo obligación legal.

6.3 PolyMatch asiste al Cliente, en la medida de la información de que dispone, en el cumplimiento de sus obligaciones en materia de seguridad, notificación de violaciones y evaluación de impacto (artículos 32 a 36 del RGPD).

7. Violaciones de la seguridad de los datos

PolyMatch notifica al Cliente cualquier violación de la seguridad de los datos personales que afecte a Datos del Cliente sin dilación indebida y, a más tardar, cuarenta y ocho horas después de haber tenido conocimiento de ella, por correo electrónico a los Administradores del Cliente. La notificación describe la naturaleza de la violación, las categorías y el número aproximado de interesados y de registros afectados, las consecuencias probables, las medidas adoptadas o propuestas y el punto de contacto; la información que aún no esté disponible se facilita en cuanto lo esté.

8. Transferencias fuera de la Unión Europea

Los Datos del Cliente están alojados en la Unión Europea. Toda transferencia a un tercer país por parte de un subencargado se basa en una decisión de adecuación o en las cláusulas contractuales tipo de la Comisión Europea, con las medidas complementarias adecuadas; el Anexo B indica la garantía aplicable a cada subencargado.

9. Auditoría

9.1 PolyMatch pone a disposición del Cliente la información necesaria para demostrar el cumplimiento del presente acuerdo: descripción de las medidas de seguridad, lista de subencargados, respuestas a un cuestionario escrito una vez al año.

9.2 Es posible una auditoría in situ, o una auditoría realizada por un tercero independiente, una vez al año, o tras una violación de la seguridad de los datos o a petición de una autoridad, con un preaviso por escrito de treinta días, en horario laboral, sin perturbar la actividad ni dar acceso a los datos de otros clientes, a cargo del Cliente. Las conclusiones son confidenciales.

10. Fin del tratamiento

10.1 A la finalización del contrato, PolyMatch suprime los Datos del Cliente en un plazo de treinta días, salvo que se aplique una obligación legal de conservación, en cuyo caso los datos se conservan aislados hasta que dicha obligación se extinga. El Cliente exporta por sí mismo sus datos antes de la finalización del contrato mediante las funciones de la Plataforma.

10.2 Los Datos del Cliente ya transmitidos, por instrucción del Cliente, a otra Empresa mediante un Desbloqueo, una Oferta o un intercambio de documentos permanecen en poder de dicha Empresa, que es su responsable del tratamiento. El mantenimiento de los Grades en la Plataforma tras la finalización del contrato (artículo 12.5 de las Condiciones) afecta a datos técnicos y de la empresa, que no son Datos del Cliente.

11. Responsabilidad y duración

11.1 La responsabilidad de cada parte en virtud del presente acuerdo está sujeta a las limitaciones del artículo 13 de las Condiciones de Uso, salvo que las disposiciones imperativas del RGPD establezcan otra cosa.

11.2 El presente acuerdo se aplica durante toda la vigencia del contrato y hasta la supresión de los Datos del Cliente. Se rige por el Derecho polaco; en caso de conflicto con las Condiciones en una materia relativa a los datos personales, prevalece el presente acuerdo.

Anexo A — Medidas técnicas y organizativas

• Alojamiento de los datos y archivos en la Unión Europea (Irlanda), con un proveedor certificado ISO 27001 y SOC 2.
• Cifrado de las comunicaciones (TLS 1.2 o superior) y de los datos en reposo.
• Separación de los datos por Empresa y por rol, aplicada a nivel de la base de datos (control de acceso a nivel de fila); ningún acceso directo desde el navegador a las tablas sensibles; funciones sensibles ejecutables únicamente por el servidor.
• Autenticación mediante contraseña cifrada con hash, protección frente a contraseñas comprometidas, caducidad de la sesión tras 7 días de inactividad, verificación antibots en el registro, el inicio de sesión y el restablecimiento de la contraseña, limitación de solicitudes.
• Acceso a los archivos mediante enlaces firmados de duración limitada; registro de los documentos compartidos entre Empresas.
• Secretos técnicos custodiados en un almacén dedicado, nunca en el código; acceso de administrador nominativo y registrado.
• Copias de seguridad cifradas, copia de los archivos en un segundo proveedor; procedimiento de restauración.
• Registro de las acciones y de los errores; alerta cuando no se consigue enviar una comunicación contractual.
• Desarrollo con pruebas automatizadas, revisión y salvaguardas de seguridad antes de cada versión; auditoría de seguridad antes del lanzamiento y tras cada cambio importante.
• Subencargados vinculados por un acuerdo de encargo del tratamiento; verificación de sus certificaciones y de sus garantías de transferencia.
• Procedimiento de gestión de violaciones: detección, contención, análisis, notificación (artículo 7), medidas correctoras.

Anexo B — Subencargados del tratamiento

Lista accesible para los Clientes en Mi empresa (Documentos contractuales). Cualquier cambio sigue el procedimiento del artículo 5.