قرارداد پردازش داده‌ها (DPA) — پیوست 1 شرایط استفاده

نسخه 1.0 — 3 نوامبر 2026. این قرارداد (umowa powierzenia przetwarzania danych osobowych، ماده 28 GDPR) میان شرکتی که دارای حساب PolyMatch است («مشتری») و [نام و نام خانوادگی]، [نشانی محل ثبت]، لهستان، NIP [NIP] («PolyMatch») منعقد می‌شود. این قرارداد همراه با شرایط استفاده توسط شخصی که مجاز به متعهد ساختن مشتری است پذیرفته می‌شود؛ رونوشتی تاریخ‌دار به نام مشتری را می‌توان از «شرکت من» بارگیری کرد.

1. موضوع و دامنه

1.1 این قرارداد پردازشی را تنظیم می‌کند که PolyMatch از طرف مشتری بر روی داده‌های شخصی اشخاص ثالث موجود در محتوایی که مشتری در پلتفرم بارگذاری یا وارد می‌کند («داده‌های مشتری») انجام می‌دهد: اطلاعات تماس پیمانکاران فرعی، مشتریان یا شرکای آن، اشخاصی که در اسناد، پیام‌ها، پروژه‌ها یا پیشنهادهای آن نام برده شده‌اند.

1.2 موارد زیر داده‌های مشتری محسوب نمی‌شوند و PolyMatch آن‌ها را به‌عنوان کنترل‌کننده مستقل و مطابق سیاست حفظ حریم خصوصی پردازش می‌کند: حساب‌های کاربران مشتری، داده‌های شناسایی و درج شرکت، داده‌های فنی گریدها، پروژه‌ها در بُعد فنی آن‌ها، درخواست‌ها، تطبیق‌ها و رتبه‌بندی‌ها، صورت‌حساب، گزارش‌های امنیت و فعالیت، رضایت‌ها. مشتری و PolyMatch هر یک کنترل‌کننده مستقل داده‌هایی هستند که پس از باز کردن میان شرکت‌ها مبادله می‌شود.

1.3 شرح پردازش: ماهیت — میزبانی، ذخیره‌سازی، نمایش به مشتری و کاربران آن، انتقال به شرکت‌هایی که مشتری از طریق پلتفرم با آن‌ها ارتباط برقرار می‌کند، ترجمه خودکار پیام‌ها، پشتیبان‌گیری؛ هدف — ارائه خدمات شرح‌داده‌شده در شرایط؛ مدت — مدت قرارداد؛ دسته‌های اشخاص موضوع داده — اشخاص تماس کاری پیمانکاران فرعی، مشتریان و شرکای مشتری، اشخاصی که کاربران آن نام می‌برند؛ دسته‌های داده — هویت حرفه‌ای، سمت، اطلاعات تماس کاری، محتوای پیام‌ها و اسناد؛ هیچ دسته خاصی از داده‌ها (ماده 9 GDPR) پیش‌بینی نمی‌شود و مشتری متعهد می‌شود که چنین داده‌هایی را بارگذاری نکند.

2. دستورهای مشتری

2.1 PolyMatch داده‌های مشتری را تنها بر اساس دستورهای مستند مشتری پردازش می‌کند. دستورها عبارت‌اند از: شرایط استفاده، این قرارداد و اقداماتی که مشتری و کاربران آن در پلتفرم انجام می‌دهند (بارگذاری، اشتراک‌گذاری، ارسال، حذف).

2.2 اگر PolyMatch تشخیص دهد که دستوری ناقض GDPR یا سایر مقررات حفاظت از داده است، بی‌درنگ مشتری را مطلع می‌کند. PolyMatch می‌تواند در مواردی که قانون اتحادیه یا قانون یک کشور عضو آن را الزامی کند، داده‌های مشتری را بدون دستور پردازش کند؛ در این صورت مشتری را مطلع می‌کند، مگر آنکه قانون آن را منع کرده باشد.

3. تعهدات مشتری

مشتری تضمین می‌کند که برای داده‌های مشتری مبنای قانونی دارد، اشخاص موضوع داده را مطلع کرده است، دستورهای آن قانونی است و داده‌های مشتری را به حد لازم محدود می‌کند. پاسخ به تقاضاهای اشخاص موضوع داده و مراجع رسمی در مورد داده‌های مشتری تنها بر عهده مشتری است، با همکاری PolyMatch بر اساس ماده 6.

4. تعهدات PolyMatch

4.1 محرمانگی: اشخاصی که مجاز به پردازش داده‌های مشتری هستند به موجب قرارداد یا قانون ملزم به رازداری‌اند؛ دسترسی به آنچه برای بهره‌برداری و پشتیبانی لازم است محدود می‌شود.

4.2 امنیت: PolyMatch تدابیر فنی و سازمانی پیوست A را اجرا می‌کند و آن‌ها را با تحول خطرها متناسب می‌سازد، بدون آنکه سطح کلی آن‌ها کاهش یابد.

4.3 سوابق و همکاری: PolyMatch سوابق دسته‌های فعالیت‌های پردازشی انجام‌شده برای مشتری را نگهداری می‌کند و در صورت تقاضا با مرجع نظارتی همکاری می‌کند.

5. پردازشگران فرعی

5.1 مشتری برای به‌کارگیری پردازشگران فرعی فهرست‌شده در پیوست B، که فهرست منتشرشده در سیاست حفظ حریم خصوصی را بازتاب می‌دهد، مجوز عمومی می‌دهد.

5.2 PolyMatch هرگونه افزودن یا جایگزینی را دست‌کم سی روز پیش از اجرایی شدن آن از طریق پست الکترونیکی به مشتری اطلاع می‌دهد. مشتری می‌تواند در همین مهلت، به دلایل مشروع مربوط به حفاظت از داده، به‌صورت کتبی اعتراض کند؛ در صورت عدم توافق، مشتری می‌تواند پیش از اجرایی شدن تغییر، بدون جریمه قرارداد را فسخ کند.

5.3 PolyMatch به موجب قرارداد، تعهداتی در زمینه حفاظت از داده معادل تعهدات خود را بر هر پردازشگر فرعی تحمیل می‌کند و در برابر مشتری مسئول اجرای آن‌ها باقی می‌ماند.

6. همکاری و حقوق اشخاص موضوع داده

6.1 PolyMatch با در نظر گرفتن ماهیت پردازش، به مشتری در پاسخ به تقاضاهای اشخاص موضوع داده که حقوق خود را اعمال می‌کنند (دسترسی، اصلاح، پاک کردن، محدودسازی، قابلیت انتقال، اعتراض) کمک می‌کند. مشتری در پلتفرم ابزارهای مشاهده، اصلاح و حذف داده‌های مشتری را در اختیار دارد؛ PolyMatch برای آنچه پلتفرم امکان آن را فراهم نمی‌کند، با تقاضای کتبی و ظرف ده روز کاری مداخله می‌کند.

6.2 اگر یک شخص موضوع داده درباره داده‌های مشتری مستقیماً با PolyMatch تماس بگیرد، PolyMatch تقاضا را بدون پاسخ ماهوی به مشتری ارجاع می‌دهد، مگر آنکه قانوناً ملزم به پاسخ باشد.

6.3 PolyMatch در حدود اطلاعاتی که در اختیار دارد، به مشتری در رعایت تعهداتش در زمینه امنیت، اطلاع‌رسانی نقض و ارزیابی اثر (مواد 32 تا 36 GDPR) کمک می‌کند.

7. نقض داده‌ها

PolyMatch هرگونه نقض داده‌های شخصی را که داده‌های مشتری را تحت تأثیر قرار دهد، بدون تأخیر ناموجه و حداکثر چهل و هشت ساعت پس از آگاهی از آن، از طریق پست الکترونیکی به مدیران مشتری اطلاع می‌دهد. اطلاعیه ماهیت نقض، دسته‌ها و تعداد تقریبی اشخاص موضوع داده و سوابق مربوط، پیامدهای محتمل، اقدامات انجام‌شده یا مطرح‌شده و نقطه تماس را شرح می‌دهد؛ اطلاعاتی که هنوز در دسترس نیست به محض در دسترس قرار گرفتن ارائه می‌شود.

8. انتقال به خارج از اتحادیه اروپا

داده‌های مشتری در اتحادیه اروپا میزبانی می‌شوند. هرگونه انتقال به یک کشور ثالث توسط یک پردازشگر فرعی بر تصمیم کفایت یا بر شروط قراردادی استاندارد کمیسیون اروپا، همراه با تدابیر تکمیلی مناسب، متکی است؛ پیوست B تضمین قابل اعمال برای هر پردازشگر فرعی را مشخص می‌کند.

9. حسابرسی

9.1 PolyMatch اطلاعات لازم برای اثبات رعایت این قرارداد را در اختیار مشتری قرار می‌دهد: شرح تدابیر امنیتی، فهرست پردازشگران فرعی، پاسخ به یک پرسش‌نامه کتبی سالی یک بار.

9.2 حسابرسی در محل، یا حسابرسی توسط شخص ثالث مستقل، سالی یک بار، یا پس از نقض داده‌ها یا به تقاضای یک مرجع رسمی، با اطلاع کتبی سی روز پیش از آن، در ساعات کاری، بدون مختل کردن فعالیت‌ها یا دسترسی به داده‌های سایر مشتریان و با هزینه مشتری امکان‌پذیر است. یافته‌ها محرمانه‌اند.

10. پایان پردازش

10.1 در پایان قرارداد، PolyMatch داده‌های مشتری را ظرف سی روز حذف می‌کند، مگر آنکه تکلیف قانونی نگهداری وجود داشته باشد که در این صورت داده‌ها تا انقضای آن تکلیف به‌صورت جداگانه نگهداری می‌شوند. مشتری خود پیش از پایان قرارداد، از طریق قابلیت‌های پلتفرم، از داده‌هایش خروجی می‌گیرد.

10.2 داده‌های مشتری که پیش‌تر به دستور مشتری از طریق باز کردن، پیشنهاد یا اشتراک‌گذاری اسناد به شرکت دیگری منتقل شده‌اند نزد آن شرکت باقی می‌مانند که کنترل‌کننده آن‌هاست. درج مستمر گریدها پس از پایان قرارداد (ماده 12.5 شرایط) به داده‌های فنی و داده‌های شرکت مربوط است که داده‌های مشتری محسوب نمی‌شوند.

11. مسئولیت و مدت

11.1 مسئولیت هر طرف بر اساس این قرارداد تابع محدودیت‌های ماده 13 شرایط استفاده است، مگر در مواردی که مقررات آمره GDPR ترتیب دیگری مقرر کرده باشد.

11.2 این قرارداد در تمام مدت قرارداد اصلی و تا زمان حذف داده‌های مشتری اعمال می‌شود. این قرارداد تابع قانون لهستان است؛ در صورت تعارض با شرایط در موضوعی مربوط به داده‌های شخصی، این قرارداد مقدم است.

پیوست A — تدابیر فنی و سازمانی

• میزبانی داده‌ها و فایل‌ها در اتحادیه اروپا (ایرلند)، نزد ارائه‌دهنده‌ای دارای گواهی ISO 27001 و SOC 2.
• رمزگذاری ارتباطات (TLS 1.2 یا بالاتر) و داده‌های ذخیره‌شده.
• تفکیک داده‌ها بر اساس شرکت و نقش، که در سطح پایگاه داده اعمال می‌شود (کنترل دسترسی در سطح سطر)؛ عدم دسترسی مستقیم مرورگر به جدول‌های حساس؛ توابع حساس تنها توسط سرور قابل اجرا هستند.
• احراز هویت با گذرواژه هش‌شده، حفاظت در برابر گذرواژه‌های افشاشده، انقضای نشست پس از 7 روز عدم فعالیت، بررسی ضدربات هنگام ثبت‌نام، ورود و بازنشانی گذرواژه، محدودسازی نرخ.
• دسترسی به فایل‌ها از طریق پیوندهای امضاشده با زمان محدود؛ ثبت اسناد به اشتراک گذاشته‌شده میان شرکت‌ها.
• نگهداری اسرار فنی در یک گاوصندوق اختصاصی و هرگز در کد؛ دسترسی‌های مدیریتی با نام مشخص و ثبت‌شده.
• پشتیبان‌های رمزگذاری‌شده، رونوشت فایل‌ها نزد ارائه‌دهنده دوم؛ رویه بازیابی.
• ثبت اقدامات و خطاها؛ هشدار در صورت ناموفق بودن ارسال یک مکاتبه قراردادی.
• توسعه همراه با آزمون‌های خودکار، بازبینی و سازوکارهای حفاظتی امنیتی پیش از هر انتشار؛ ممیزی امنیتی پیش از راه‌اندازی و پس از هر تغییر عمده.
• پردازشگران فرعی ملزم به قرارداد پردازش داده‌ها؛ بررسی گواهی‌ها و تضمین‌های انتقال آن‌ها.
• رویه مدیریت نقض: شناسایی، مهار، تحلیل، اطلاع‌رسانی (ماده 7)، اقدامات اصلاحی.

پیوست B — پردازشگران فرعی

فهرستی که در «شرکت من» (اسناد قرارداد) در دسترس مشتریان است. هر تغییری تابع رویه ماده 5 است.