Tietojenkäsittelysopimus (DPA) — Käyttöehtojen Liite 1

Versio 1.0 — 3. marraskuuta 2026. Tämä sopimus (umowa powierzenia przetwarzania danych osobowych, GDPR:n 28 artikla) tehdään PolyMatch-tilin haltijana olevan Yrityksen (”Asiakas”) ja [Etunimi SUKUNIMI], [rekisteröity osoite], Puola, NIP [NIP] (”PolyMatch”), välillä. Sen hyväksyy yhdessä Käyttöehtojen kanssa henkilö, jolla on oikeus sitoa Asiakas; Asiakkaan nimellä varustetun päivätyn kappaleen voi ladata kohdasta Yritykseni.

1. Kohde ja soveltamisala

1.1 Tällä sopimuksella säännellään sitä, miten PolyMatch käsittelee Asiakkaan lukuun kolmansien osapuolten henkilötietoja, jotka sisältyvät Asiakkaan Alustalle lataamaan tai syöttämään sisältöön (”Asiakastiedot”): sen alihankkijoiden, asiakkaiden tai kumppaneiden yhteystiedot sekä sen asiakirjoissa, viesteissä, projekteissa tai tarjouksissa mainitut henkilöt.

1.2 Seuraavat tiedot eivät ole Asiakastietoja, ja PolyMatch käsittelee niitä itsenäisenä rekisterinpitäjänä Tietosuojaselosteen mukaisesti: Asiakkaan Käyttäjien tilit, Yrityksen tunniste- ja listaustiedot, Laatujen tekniset tiedot, Projektit niiden teknisessä ulottuvuudessa, Liidit, Osumat ja järjestykset, laskutus, tietoturva- ja toimintalokit, suostumukset. Asiakas ja PolyMatch ovat kumpikin itsenäisiä rekisterinpitäjiä niiden tietojen osalta, joita Yritysten välillä vaihdetaan Avaamisen jälkeen.

1.3 Käsittelyn kuvaus: luonne — palvelinpalvelu, tallentaminen, näyttäminen Asiakkaalle ja sen Käyttäjille, välittäminen niille Yrityksille, joiden kanssa Asiakas asettuu yhteyteen Alustan kautta, viestien automaattinen kääntäminen, varmuuskopiointi; tarkoitus — Ehdoissa kuvattujen palvelujen tarjoaminen; kesto — sopimuksen voimassaoloaika; rekisteröityjen ryhmät — Asiakkaan alihankkijoiden, asiakkaiden ja kumppaneiden työyhteyshenkilöt, sen Käyttäjien mainitsemat henkilöt; tietoryhmät — ammatillinen henkilöllisyys, tehtävä, työyhteystiedot, viestien ja asiakirjojen sisältö; erityisiä henkilötietoryhmiä (GDPR:n 9 artikla) ei odoteta käsiteltävän, ja Asiakas sitoutuu olemaan lataamatta niitä.

2. Asiakkaan ohjeet

2.1 PolyMatch käsittelee Asiakastietoja ainoastaan Asiakkaan dokumentoitujen ohjeiden mukaisesti. Ohjeet ovat: Käyttöehdot, tämä sopimus sekä toimet, jotka Asiakas ja sen Käyttäjät suorittavat Alustalla (lataaminen, jakaminen, lähettäminen, poistaminen).

2.2 Jos PolyMatch katsoo, että ohje rikkoo GDPR:ää tai muita tietosuojasäännöksiä, se ilmoittaa siitä Asiakkaalle viipymättä. PolyMatch voi käsitellä Asiakastietoja ilman ohjetta, jos unionin oikeus tai jäsenvaltion lainsäädäntö sitä edellyttää; se ilmoittaa tällöin asiasta Asiakkaalle, ellei laki sitä kiellä.

3. Asiakkaan velvollisuudet

Asiakas takaa, että sillä on oikeusperuste Asiakastietojen käsittelylle, että se on informoinut rekisteröityjä, että sen ohjeet ovat lainmukaisia ja että se rajoittaa Asiakastiedot välttämättömään. Asiakas yksin vastaa rekisteröityjen ja viranomaisten Asiakastietoja koskeviin pyyntöihin PolyMatchin avustamana 6 artiklan mukaisesti.

4. PolyMatchin velvollisuudet

4.1 Luottamuksellisuus: Asiakastietoja käsittelemään valtuutettuja henkilöitä sitoo sopimukseen tai lakiin perustuva salassapitovelvollisuus; pääsy rajoittuu siihen, mikä on tarpeen ylläpidon ja tuen kannalta.

4.2 Tietoturva: PolyMatch toteuttaa Liitteen A tekniset ja organisatoriset toimenpiteet ja mukauttaa niitä riskien kehittymisen mukaan alentamatta niiden yleistä tasoa.

4.3 Seloste ja yhteistyö: PolyMatch pitää selostetta Asiakkaan lukuun suoritettavien käsittelytoimien ryhmistä ja tekee pyynnöstä yhteistyötä valvontaviranomaisen kanssa.

5. Alihankkijat

5.1 Asiakas antaa yleisen ennakkoluvan käyttää Liitteessä B lueteltuja alihankkijoita; liite toistaa Tietosuojaselosteessa julkaistun luettelon.

5.2 PolyMatch ilmoittaa Asiakkaalle sähköpostitse jokaisesta lisäyksestä tai korvaamisesta vähintään kolmekymmentä päivää ennen sen voimaantuloa. Asiakas voi vastustaa muutosta kirjallisesti perustelluista tietosuojasyistä tämän määräajan kuluessa; jos sopuun ei päästä, Asiakas voi irtisanoa sopimuksen ennen muutoksen voimaantuloa ilman seuraamuksia.

5.3 PolyMatch asettaa sopimuksella jokaiselle alihankkijalle omiaan vastaavat tietosuojavelvoitteet ja vastaa Asiakkaalle niiden täyttämisestä.

6. Avustaminen ja rekisteröityjen oikeudet

6.1 Käsittelyn luonne huomioon ottaen PolyMatch avustaa Asiakasta vastaamaan oikeuksiaan käyttävien rekisteröityjen pyyntöihin (pääsy tietoihin, oikaisu, poistaminen, rajoittaminen, siirrettävyys, vastustaminen). Asiakkaalla on Alustalla keinot tarkastella, korjata ja poistaa Asiakastietoja; PolyMatch toimii kirjallisesta pyynnöstä niiden asioiden osalta, joita Alusta ei mahdollista, kymmenen työpäivän kuluessa.

6.2 Jos rekisteröity ottaa yhteyttä suoraan PolyMatchiin Asiakastietoja koskevassa asiassa, PolyMatch välittää pyynnön Asiakkaalle vastaamatta siihen asiasisällöltään, ellei laki sitä edellytä.

6.3 PolyMatch avustaa Asiakasta käytettävissään olevien tietojen rajoissa täyttämään sen tietoturvaa, tietoturvaloukkauksista ilmoittamista ja vaikutustenarviointia koskevat velvollisuudet (GDPR:n 32–36 artikla).

7. Tietoturvaloukkaukset

PolyMatch ilmoittaa Asiakkaalle jokaisesta Asiakastietoja koskevasta henkilötietojen tietoturvaloukkauksesta ilman aiheetonta viivytystä ja viimeistään neljäkymmentäkahdeksan tuntia sen jälkeen, kun se on saanut loukkauksen tietoonsa, sähköpostitse Asiakkaan Pääkäyttäjille. Ilmoituksessa kuvataan loukkauksen luonne, asianomaisten rekisteröityjen ja tietueiden ryhmät ja arvioitu lukumäärä, todennäköiset seuraukset, toteutetut tai ehdotetut toimenpiteet sekä yhteyspiste; tiedot, jotka eivät vielä ole saatavilla, toimitetaan heti, kun ne ovat saatavilla.

8. Siirrot Euroopan unionin ulkopuolelle

Asiakastiedot säilytetään Euroopan unionissa. Alihankkijan suorittama siirto kolmanteen maahan perustuu tietosuojan riittävyyttä koskevaan päätökseen tai Euroopan komission vakiosopimuslausekkeisiin asianmukaisin täydentävin toimenpitein; Liitteessä B ilmoitetaan kuhunkin alihankkijaan sovellettava suojatoimi.

9. Auditointi

9.1 PolyMatch antaa Asiakkaan saataville tiedot, jotka ovat tarpeen tämän sopimuksen noudattamisen osoittamiseksi: kuvauksen tietoturvatoimenpiteistä, alihankkijoiden luettelon ja vastaukset kirjalliseen kyselyyn kerran vuodessa.

9.2 Paikan päällä tehtävä auditointi tai riippumattoman kolmannen osapuolen suorittama auditointi on mahdollinen kerran vuodessa tai tietoturvaloukkauksen jälkeen tai viranomaisen pyynnöstä, kun siitä on ilmoitettu kirjallisesti kolmekymmentä päivää etukäteen, työaikana, häiritsemättä toimintaa ja antamatta pääsyä muiden asiakkaiden tietoihin, Asiakkaan kustannuksella. Havainnot ovat luottamuksellisia.

10. Käsittelyn päättyminen

10.1 Sopimuksen päättyessä PolyMatch poistaa Asiakastiedot kolmenkymmenen päivän kuluessa, ellei lakisääteistä säilytysvelvollisuutta sovelleta, jolloin tiedot säilytetään eristettyinä kyseisen velvollisuuden päättymiseen asti. Asiakas vie itse tietonsa ennen sopimuksen päättymistä Alustan toimintojen avulla.

10.2 Asiakastiedot, jotka on Asiakkaan ohjeesta jo välitetty toiselle Yritykselle Avaamisen, Tarjouksen tai asiakirjojen jakamisen yhteydessä, jäävät kyseiselle Yritykselle, joka on niiden rekisterinpitäjä. Laatujen listauksen jatkuminen sopimuksen päättymisen jälkeen (Ehtojen kohta 12.5) koskee teknisiä tietoja ja yritystietoja, jotka eivät ole Asiakastietoja.

11. Vastuu ja voimassaolo

11.1 Kunkin osapuolen tämän sopimuksen mukaiseen vastuuseen sovelletaan Käyttöehtojen 13 artiklan rajoituksia, paitsi jos GDPR:n pakottavissa säännöksissä säädetään toisin.

11.2 Tätä sopimusta sovelletaan koko sopimussuhteen voimassaoloajan ja siihen asti, kunnes Asiakastiedot on poistettu. Siihen sovelletaan Puolan lakia; jos se on ristiriidassa Ehtojen kanssa henkilötietoja koskevassa asiassa, tämä sopimus on ensisijainen.

Liite A — Tekniset ja organisatoriset toimenpiteet

• Tietojen ja tiedostojen säilytys Euroopan unionissa (Irlanti) ISO 27001- ja SOC 2 -sertifioidun palveluntarjoajan palvelimilla.
• Tietoliikenteen (TLS 1.2 tai uudempi) ja tallennettujen tietojen salaus.
• Tietojen eriyttäminen Yrityksittäin ja rooleittain tietokantatasolla (rivitason pääsynhallinta); ei suoraa pääsyä selaimesta arkaluonteisiin tauluihin; arkaluonteisia toimintoja voi suorittaa vain palvelin.
• Tunnistautuminen tiivistetyllä salasanalla, suojaus vaarantuneita salasanoja vastaan, istunnon vanheneminen 7 päivän käyttämättömyyden jälkeen, bottitarkistus rekisteröitymisen, kirjautumisen ja salasanan palauttamisen yhteydessä, pyyntömäärien rajoittaminen.
• Pääsy tiedostoihin aikarajoitettujen allekirjoitettujen linkkien kautta; rekisteri Yritysten välillä jaetuista asiakirjoista.
• Tekniset salaisuudet säilytetään erillisessä holvissa, ei koskaan koodissa; nimetty ja kirjattu ylläpitäjien pääsy.
• Salatut varmuuskopiot, tiedostojen kopio toisella palveluntarjoajalla; palautusmenettely.
• Toimien ja virheiden kirjaaminen; hälytys, kun sopimukseen liittyvän tiedonannon lähettäminen epäonnistuu.
• Kehitystyö automaattisine testeineen, katselmointeineen ja tietoturvatarkistuksineen ennen jokaista julkaisua; tietoturva-auditointi ennen lanseerausta ja jokaisen merkittävän muutoksen jälkeen.
• Alihankkijoita sitoo tietojenkäsittelysopimus; niiden sertifiointien ja siirtoja koskevien suojatoimien tarkistaminen.
• Tietoturvaloukkausten hallintamenettely: havaitseminen, rajaaminen, analysointi, ilmoittaminen (7 artikla), korjaavat toimenpiteet.

Liite B — Alihankkijat

Luettelo on Asiakkaiden saatavilla kohdassa Yritykseni (Sopimusasiakirjat). Kaikkiin muutoksiin sovelletaan 5 artiklan menettelyä.