Accord de traitement des données (DPA) — annexe 1 des Conditions d'utilisation

Version 1.0 — 3 novembre 2026. Cet accord (umowa powierzenia przetwarzania danych osobowych, article 28 du RGPD) est conclu entre l'Entreprise titulaire d'un compte PolyMatch (le « Client ») et [Prénom NOM], [adresse du siège], Pologne, NIP [NIP] (« PolyMatch »). Il est accepté avec les Conditions d'utilisation par une personne habilitée à engager le Client ; une copie datée au nom du Client est téléchargeable dans Mon entreprise.

1. Objet et périmètre

1.1 Le présent accord régit le traitement par PolyMatch, pour le compte du Client, des données personnelles de tiers contenues dans les contenus que le Client dépose ou saisit sur la Plateforme (les « Données Client ») : coordonnées de ses sous-traitants, de ses clients ou partenaires, personnes nommées dans ses documents, ses messages, ses projets ou ses offres.

1.2 Ne sont pas des Données Client, et sont traitées par PolyMatch en qualité de responsable du traitement indépendant, conformément à la Politique de confidentialité : les comptes des Utilisateurs du Client, les données d'identification et de référencement de l'Entreprise, les données techniques des Grades, les Projets dans leur dimension technique, les Leads, Matchs et classements, la facturation, les journaux de sécurité et d'activité, les consentements. Le Client et PolyMatch sont chacun responsables indépendants des données échangées entre Entreprises après un Déblocage.

1.3 Description du traitement : nature — hébergement, stockage, affichage au Client et à ses Utilisateurs, transmission aux Entreprises que le Client met en relation par la Plateforme, traduction automatique des messages, sauvegarde ; finalité — fournir les services décrits dans les Conditions ; durée — celle du contrat ; catégories de personnes — contacts professionnels des sous-traitants, clients et partenaires du Client, personnes mentionnées par ses Utilisateurs ; catégories de données — identité professionnelle, fonction, coordonnées professionnelles, contenu des messages et documents ; aucune catégorie particulière de données (article 9 du RGPD) n'est attendue et le Client s'engage à ne pas en déposer.

2. Instructions du Client

2.1 PolyMatch ne traite les Données Client que sur instruction documentée du Client. Les instructions sont : les Conditions d'utilisation, le présent accord et les actions que le Client et ses Utilisateurs effectuent dans la Plateforme (dépôt, partage, envoi, suppression).

2.2 Si PolyMatch estime qu'une instruction viole le RGPD ou une autre disposition relative à la protection des données, il en informe le Client sans délai. PolyMatch peut traiter les Données Client sans instruction lorsque le droit de l'Union ou d'un État membre l'exige ; il en informe alors le Client, sauf interdiction légale.

3. Obligations du Client

Le Client garantit qu'il dispose d'une base légale pour les Données Client, qu'il a informé les personnes concernées, que ses instructions sont licites et qu'il limite les Données Client au nécessaire. Il répond seul des demandes des personnes concernées et des autorités relatives aux Données Client, PolyMatch l'assistant dans les conditions de l'article 6.

4. Obligations de PolyMatch

4.1 Confidentialité : les personnes autorisées à traiter les Données Client sont tenues à la confidentialité par contrat ou par la loi ; l'accès est limité à ce qui est nécessaire à l'exploitation et au support.

4.2 Sécurité : PolyMatch met en œuvre les mesures techniques et organisationnelles de l'annexe A et les adapte à l'évolution des risques, sans en réduire le niveau global.

4.3 Registre et coopération : PolyMatch tient le registre des catégories d'activités de traitement effectuées pour le Client et coopère, sur demande, avec l'autorité de contrôle.

5. Sous-traitants ultérieurs

5.1 Le Client autorise de manière générale le recours aux sous-traitants ultérieurs listés dans l'annexe B, qui reprend la liste publiée dans la Politique de confidentialité.

5.2 PolyMatch informe le Client par e-mail de tout ajout ou remplacement au moins trente jours avant qu'il ne prenne effet. Le Client peut s'y opposer par écrit, pour un motif légitime lié à la protection des données, dans ce délai ; à défaut d'accord, le Client peut résilier le contrat avant la prise d'effet, sans pénalité.

5.3 PolyMatch impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données équivalentes aux siennes et reste responsable envers le Client de leur exécution.

6. Assistance et droits des personnes

6.1 Compte tenu de la nature du traitement, PolyMatch aide le Client à répondre aux demandes d'exercice des droits des personnes concernées (accès, rectification, effacement, limitation, portabilité, opposition). Le Client dispose, dans la Plateforme, des moyens de consulter, corriger et supprimer les Données Client ; PolyMatch intervient sur demande écrite pour ce que la Plateforme ne permet pas, dans un délai de dix jours ouvrés.

6.2 Si une personne concernée s'adresse directement à PolyMatch au sujet de Données Client, PolyMatch transmet la demande au Client sans y répondre sur le fond, sauf obligation légale.

6.3 PolyMatch aide le Client, dans la mesure des informations dont il dispose, à respecter ses obligations de sécurité, de notification des violations et d'analyse d'impact (articles 32 à 36 du RGPD).

7. Violations de données

PolyMatch notifie au Client toute violation de données personnelles affectant les Données Client sans retard injustifié et au plus tard quarante-huit heures après en avoir eu connaissance, par e-mail aux Administrateurs du Client. La notification décrit la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables, les mesures prises ou proposées, et le point de contact ; les informations non encore disponibles sont communiquées dès qu'elles le sont.

8. Transferts hors de l'Union européenne

Les Données Client sont hébergées dans l'Union européenne. Tout transfert vers un pays tiers par un sous-traitant ultérieur repose sur une décision d'adéquation ou sur les clauses contractuelles types de la Commission européenne, avec les mesures complémentaires appropriées ; l'annexe B indique la garantie applicable à chaque sous-traitant.

9. Audit

9.1 PolyMatch met à la disposition du Client les informations nécessaires pour démontrer le respect du présent accord : description des mesures de sécurité, liste des sous-traitants, réponses à un questionnaire écrit une fois par an.

9.2 Un audit sur site ou par un tiers indépendant est possible une fois par an, ou après une violation de données ou sur exigence d'une autorité, sur préavis écrit de trente jours, pendant les heures ouvrées, sans perturber l'exploitation ni donner accès aux données d'autres clients, aux frais du Client. Les constatations sont confidentielles.

10. Fin du traitement

10.1 À la fin du contrat, PolyMatch supprime les Données Client dans les trente jours, sauf obligation légale de conservation, auquel cas elles sont conservées isolées jusqu'à l'expiration de cette obligation. Le Client exporte lui-même ses données avant la fin du contrat par les fonctions de la Plateforme.

10.2 Les Données Client déjà transmises, sur instruction du Client, à une autre Entreprise par un Déblocage, une Offre ou un partage de documents restent chez cette Entreprise, qui en est responsable. Le maintien du référencement des Grades après la fin du contrat (article 12.5 des Conditions) porte sur des données techniques et d'entreprise, qui ne sont pas des Données Client.

11. Responsabilité et durée

11.1 La responsabilité de chaque partie au titre du présent accord est soumise aux limitations de l'article 13 des Conditions d'utilisation, sauf disposition impérative contraire du RGPD.

11.2 Le présent accord s'applique pendant toute la durée du contrat et jusqu'à la suppression des Données Client. Il est régi par le droit polonais ; en cas de contradiction avec les Conditions sur un point relatif aux données personnelles, le présent accord prévaut.

Annexe A — Mesures techniques et organisationnelles

• Hébergement des données et des fichiers dans l'Union européenne (Irlande), chez un prestataire certifié ISO 27001 et SOC 2.
• Chiffrement des échanges (TLS 1.2 ou supérieur) et des données au repos.
• Cloisonnement des données par Entreprise et par rôle, appliqué au niveau de la base de données (contrôle d'accès ligne par ligne) ; aucun accès direct des navigateurs aux tables sensibles ; fonctions sensibles exécutables uniquement par le serveur.
• Authentification par mot de passe haché, protection contre les mots de passe compromis, expiration des sessions après 7 jours d'inactivité, contrôle anti-robots à l'inscription, à la connexion et à la réinitialisation du mot de passe, limitation du nombre de requêtes.
• Accès aux fichiers par liens signés à durée limitée ; registre des documents partagés entre Entreprises.
• Secrets techniques conservés dans un coffre dédié, jamais dans le code ; accès administrateur nominatif et journalisé.
• Sauvegardes chiffrées, copie des fichiers chez un second prestataire ; procédure de restauration.
• Journalisation des actions et des erreurs ; alerte en cas d'échec d'envoi d'une communication contractuelle.
• Développement avec tests automatisés, revue et gardes de sécurité avant chaque mise en ligne ; audit de sécurité avant le lancement et après chaque évolution majeure.
• Sous-traitants ultérieurs liés par un accord de traitement des données ; vérification de leurs certifications et de leurs garanties de transfert.
• Procédure de gestion des violations : détection, confinement, analyse, notification (article 7), mesures correctives.

Annexe B — Sous-traitants ultérieurs

Liste accessible aux Clients dans Mon entreprise (Documents contractuels). Toute modification suit la procédure de l'article 5.