Andmetöötlusleping (DPA) — Kasutustingimuste Lisa 1

Versioon 1.0 — 3. november 2026. Käesolev leping (umowa powierzenia przetwarzania danych osobowych, isikuandmete kaitse üldmääruse artikkel 28) sõlmitakse PolyMatchi kontot omava Ettevõtte („Klient“) ja [Eesnimi PEREKONNANIMI], [registrijärgne aadress], Poola, NIP [NIP] („PolyMatch“) vahel. Leping aktsepteeritakse koos Kasutustingimustega isiku poolt, kellel on õigus Klienti kohustada; Kliendi nimele koostatud dateeritud koopia saab alla laadida jaotisest Minu ettevõte.

1. Ese ja kohaldamisala

1.1 Käesolev leping reguleerib kolmandate isikute isikuandmete töötlemist PolyMatchi poolt Kliendi nimel, kui need andmed sisalduvad sisus, mille Klient Platvormile üles laadib või sisestab („Kliendi andmed“): tema allhankijate, klientide või partnerite kontaktandmed, tema dokumentides, sõnumites, projektides või pakkumistes nimetatud isikud.

1.2 Järgmised andmed ei ole Kliendi andmed ja PolyMatch töötleb neid iseseisva vastutava töötlejana kooskõlas Privaatsuspoliitikaga: Kliendi Kasutajate kontod, Ettevõtte identifitseerimis- ja loetelu andmed, Markide tehnilised andmed, Projektid nende tehnilises mõõtmes, Päringud, Sobitused ja järjestused, arveldus, turva- ja tegevuslogid, nõusolekud. Klient ja PolyMatch on kumbki iseseisev vastutav töötleja andmete suhtes, mida Ettevõtted pärast Avamist omavahel vahetavad.

1.3 Töötlemise kirjeldus: laad — majutamine, salvestamine, kuvamine Kliendile ja tema Kasutajatele, edastamine Ettevõtetele, kellega Klient Platvormi kaudu ühendust võtab, sõnumite automaatne tõlkimine, varundamine; eesmärk — Tingimustes kirjeldatud teenuste osutamine; kestus — lepingu kehtivusaeg; andmesubjektide kategooriad — Kliendi allhankijate, klientide ja partnerite tööalased kontaktisikud, tema Kasutajate nimetatud isikud; andmete kategooriad — tööalased isikuandmed, ametikoht, tööalased kontaktandmed, sõnumite ja dokumentide sisu; isikuandmete eriliike (isikuandmete kaitse üldmääruse artikkel 9) ei eeldata ja Klient kohustub neid mitte üles laadima.

2. Kliendi juhised

2.1 PolyMatch töötleb Kliendi andmeid üksnes Kliendi dokumenteeritud juhiste alusel. Juhised on järgmised: Kasutustingimused, käesolev leping ning toimingud, mida Klient ja tema Kasutajad Platvormil teevad (üleslaadimine, jagamine, saatmine, kustutamine).

2.2 Kui PolyMatch leiab, et juhis rikub isikuandmete kaitse üldmäärust või muid andmekaitsesätteid, teavitab ta sellest viivitamata Klienti. PolyMatch võib Kliendi andmeid töödelda ilma juhiseta, kui seda nõuab liidu või liikmesriigi õigus; sel juhul teavitab ta Klienti, välja arvatud juhul, kui seadus seda keelab.

3. Kliendi kohustused

Klient tagab, et tal on Kliendi andmete töötlemiseks õiguslik alus, et ta on andmesubjekte teavitanud, et tema juhised on seaduslikud ja et ta piirab Kliendi andmeid vajalikuga. Üksnes Klient vastab andmesubjektide ja ametiasutuste Kliendi andmeid puudutavatele taotlustele, kusjuures PolyMatch abistab teda artikli 6 kohaselt.

4. PolyMatchi kohustused

4.1 Konfidentsiaalsus: Kliendi andmete töötlemiseks volitatud isikutel on lepingust või seadusest tulenev konfidentsiaalsuskohustus; juurdepääs on piiratud sellega, mis on vajalik käitamiseks ja kasutajatoeks.

4.2 Turvalisus: PolyMatch rakendab Lisas A kirjeldatud tehnilisi ja korralduslikke meetmeid ning kohandab neid riskide muutumisele, alandamata nende üldist taset.

4.3 Registrid ja koostöö: PolyMatch peab Kliendi heaks tehtavate töötlemistoimingute kategooriate registrit ja teeb taotluse korral koostööd järelevalveasutusega.

5. Alamtöötlejad

5.1 Klient annab üldise loa kasutada Lisas B loetletud alamtöötlejaid; see lisa kordab Privaatsuspoliitikas avaldatud loetelu.

5.2 PolyMatch teavitab Klienti e-posti teel igast lisamisest või asendamisest vähemalt kolmkümmend päeva enne selle jõustumist. Klient võib selle tähtaja jooksul esitada kirjaliku vastuväite õigustatud andmekaitsealastel põhjustel; kokkuleppe puudumisel võib Klient lepingu enne muudatuse jõustumist leppetrahvita lõpetada.

5.3 PolyMatch paneb igale alamtöötlejale lepinguga tema enda kohustustega samaväärsed andmekaitsekohustused ja vastutab jätkuvalt Kliendi ees nende täitmise eest.

6. Abi ja andmesubjektide õigused

6.1 Võttes arvesse töötlemise laadi, abistab PolyMatch Klienti oma õigusi kasutavate andmesubjektide taotlustele vastamisel (juurdepääs, parandamine, kustutamine, piiramine, ülekantavus, vastuväide). Kliendil on Platvormil vahendid Kliendi andmetega tutvumiseks, nende parandamiseks ja kustutamiseks; PolyMatch sekkub kirjaliku taotluse alusel selles osas, mida Platvorm ei võimalda, kümne tööpäeva jooksul.

6.2 Kui andmesubjekt pöördub Kliendi andmete asjus otse PolyMatchi poole, edastab PolyMatch taotluse Kliendile, sisuliselt vastamata, välja arvatud juhul, kui seadus seda nõuab.

6.3 PolyMatch abistab Klienti talle kättesaadava teabe ulatuses turvalisuse, rikkumisest teatamise ja mõjuhinnanguga seotud kohustuste täitmisel (isikuandmete kaitse üldmääruse artiklid 32 kuni 36).

7. Isikuandmetega seotud rikkumised

PolyMatch teatab Kliendile igast Kliendi andmeid puudutavast isikuandmetega seotud rikkumisest põhjendamatu viivituseta ja hiljemalt neljakümne kaheksa tunni jooksul pärast sellest teada saamist, saates e-kirja Kliendi Administraatoritele. Teates kirjeldatakse rikkumise laadi, asjaomaste andmesubjektide ja kirjete kategooriaid ja ligikaudset arvu, tõenäolisi tagajärgi, võetud või kavandatud meetmeid ning kontaktpunkti; teave, mis ei ole veel kättesaadav, esitatakse niipea, kui see kättesaadavaks muutub.

8. Edastamine väljapoole Euroopa Liitu

Kliendi andmeid majutatakse Euroopa Liidus. Iga alamtöötleja poolt kolmandasse riiki tehtav edastamine põhineb kaitse piisavuse otsusel või Euroopa Komisjoni tüüptingimustel koos asjakohaste täiendavate meetmetega; Lisas B on märgitud iga alamtöötleja suhtes kohaldatav kaitsemeede.

9. Audit

9.1 PolyMatch teeb Kliendile kättesaadavaks teabe, mis on vajalik käesoleva lepingu järgimise tõendamiseks: turvameetmete kirjeldus, alamtöötlejate loetelu, vastused kirjalikule küsimustikule kord aastas.

9.2 Kohapealne audit või sõltumatu kolmanda isiku tehtav audit on võimalik kord aastas või pärast isikuandmetega seotud rikkumist või ametiasutuse nõudmisel, kolmekümnepäevase kirjaliku etteteatamisega, tööajal, tegevust häirimata ega võimaldamata juurdepääsu teiste klientide andmetele, Kliendi kulul. Tulemused on konfidentsiaalsed.

10. Töötlemise lõpp

10.1 Lepingu lõppemisel kustutab PolyMatch Kliendi andmed kolmekümne päeva jooksul, välja arvatud juhul, kui kehtib seadusest tulenev säilitamiskohustus; sel juhul säilitatakse andmeid eraldatult kuni selle kohustuse lõppemiseni. Klient ekspordib oma andmed ise enne lepingu lõppemist Platvormi funktsioonide abil.

10.2 Kliendi andmed, mis on Kliendi juhisel juba edastatud teisele Ettevõttele Avamise, Pakkumise või dokumentide jagamise kaudu, jäävad sellele Ettevõttele, kes on nende vastutav töötleja. Markide loetelus hoidmise jätkamine pärast lepingu lõppemist (Tingimuste artikkel 12.5) puudutab tehnilisi ja ettevõtte andmeid, mis ei ole Kliendi andmed.

11. Vastutus ja kehtivus

11.1 Kummagi poole vastutuse suhtes käesoleva lepingu alusel kohaldatakse Kasutustingimuste artiklis 13 sätestatud piiranguid, välja arvatud juhul, kui isikuandmete kaitse üldmääruse kohustuslikud sätted näevad ette teisiti.

11.2 Käesolevat lepingut kohaldatakse kogu lepingu kehtivuse ajal ja kuni Kliendi andmete kustutamiseni. Sellele kohaldatakse Poola õigust; vastuolu korral Tingimustega isikuandmeid puudutavas küsimuses on ülimuslik käesolev leping.

Lisa A — Tehnilised ja korralduslikud meetmed

• Andmete ja failide majutamine Euroopa Liidus (Iirimaa) teenuseosutaja juures, kellel on ISO 27001 ja SOC 2 sertifikaat.
• Side (TLS 1.2 või uuem) ja salvestatud andmete krüpteerimine.
• Andmete eraldamine Ettevõtte ja rolli kaupa, mida rakendatakse andmebaasi tasandil (reatasandi juurdepääsukontroll); puudub otsene juurdepääs tundlikele tabelitele veebilehitsejast; tundlikke funktsioone saab käivitada üksnes server.
• Autentimine räsitud parooliga, kaitse lekkinud paroolide eest, seansi aegumine pärast 7 päeva tegevusetust, robotivastane kontroll registreerimisel, sisselogimisel ja parooli lähtestamisel, päringute sageduse piiramine.
• Juurdepääs failidele ajaliselt piiratud allkirjastatud linkide kaudu; Ettevõtete vahel jagatud dokumentide register.
• Tehnilised saladused, mida hoitakse spetsiaalses hoidlas ja mitte kunagi koodis; nimeline ja logitud administraatorijuurdepääs.
• Krüpteeritud varukoopiad, failide koopia teise teenuseosutaja juures; taastamiskord.
• Toimingute ja vigade logimine; hoiatus, kui lepingulise teate saatmine ebaõnnestub.
• Arendus automatiseeritud testide, ülevaatuse ja turvakontrollidega enne iga väljalaset; turvaaudit enne käivitamist ja pärast iga olulist muudatust.
• Andmetöötluslepinguga seotud alamtöötlejad; nende sertifikaatide ja edastamise kaitsemeetmete kontrollimine.
• Rikkumiste käsitlemise kord: avastamine, ohjeldamine, analüüs, teatamine (artikkel 7), parandusmeetmed.

Lisa B — Alamtöötlejad

Loetelu on Klientidele kättesaadav jaotises Minu ettevõte (Lepingudokumendid). Iga muudatuse puhul järgitakse artiklis 5 sätestatud korda.