הסכם עיבוד נתונים (DPA) — נספח 1 לתנאי השימוש

גרסה 1.0 — 3 בנובמבר 2026. הסכם זה (umowa powierzenia przetwarzania danych osobowych, סעיף 28 ל-GDPR) נכרת בין החברה המחזיקה בחשבון PolyMatch ("הלקוח") לבין [שם פרטי שם משפחה], [כתובת המשרד הרשום], פולין, NIP [NIP] ("PolyMatch"). הוא מתקבל יחד עם תנאי השימוש על ידי אדם המוסמך לחייב את הלקוח; עותק מתוארך על שם הלקוח ניתן להורדה מתוך "החברה שלי".

1. נושא ותחולה

1.1 הסכם זה מסדיר את העיבוד על ידי PolyMatch, מטעם הלקוח, של נתונים אישיים של צדדים שלישיים הכלולים בתוכן שהלקוח מעלה או מזין בפלטפורמה ("נתוני הלקוח"): פרטי קשר של קבלני המשנה, של הלקוחות או של השותפים שלו, אנשים הנזכרים במסמכיו, בהודעותיו, בפרויקטים שלו או בהצעותיו.

1.2 הנתונים הבאים אינם נתוני הלקוח, ו-PolyMatch מעבדת אותם כבקר נתונים עצמאי, בהתאם למדיניות הפרטיות: חשבונות המשתמשים של הלקוח, נתוני הזיהוי וההופעה בפלטפורמה של החברה, הנתונים הטכניים של הגריידים, הפרויקטים בהיבטם הטכני, הפניות, ההתאמות והדירוגים, החיוב, יומני האבטחה והפעילות, ההסכמות. הלקוח ו-PolyMatch הם כל אחד בקר נתונים עצמאי לגבי הנתונים המוחלפים בין חברות לאחר פתיחה.

1.3 תיאור העיבוד: מהות — אירוח, אחסון, הצגה ללקוח ולמשתמשיו, העברה לחברות שהלקוח יוצר עמן קשר באמצעות הפלטפורמה, תרגום אוטומטי של הודעות, גיבוי; מטרה — מתן השירותים המתוארים בתנאים; משך — תקופת החוזה; קטגוריות של נושאי מידע — אנשי קשר עסקיים של קבלני המשנה, של הלקוחות ושל השותפים של הלקוח, אנשים שמשתמשיו מזכירים; קטגוריות של נתונים — זהות מקצועית, תפקיד, פרטי קשר עסקיים, תוכן הודעות ומסמכים; לא צפויות קטגוריות מיוחדות של נתונים (סעיף 9 ל-GDPR), והלקוח מתחייב שלא להעלות נתונים כאלה.

2. הוראות הלקוח

2.1 PolyMatch מעבדת את נתוני הלקוח אך ורק לפי הוראות מתועדות של הלקוח. ההוראות הן: תנאי השימוש, הסכם זה והפעולות שהלקוח ומשתמשיו מבצעים בפלטפורמה (העלאה, שיתוף, שליחה, מחיקה).

2.2 אם PolyMatch סבורה שהוראה מפרה את ה-GDPR או הוראות אחרות בדבר הגנת נתונים, היא מיידעת את הלקוח ללא דיחוי. PolyMatch רשאית לעבד את נתוני הלקוח ללא הוראה כאשר דין האיחוד או דין מדינה חברה מחייב זאת; במקרה כזה היא מיידעת את הלקוח, אלא אם הדין אוסר זאת.

3. התחייבויות הלקוח

הלקוח מתחייב כי יש לו בסיס משפטי לנתוני הלקוח, כי יידע את נושאי המידע, כי הוראותיו חוקיות וכי הוא מגביל את נתוני הלקוח לנדרש. הוא לבדו משיב לבקשות של נושאי מידע ושל רשויות בנוגע לנתוני הלקוח, בסיוע PolyMatch לפי סעיף 6.

4. התחייבויות PolyMatch

4.1 סודיות: האנשים המורשים לעבד את נתוני הלקוח מחויבים בסודיות מכוח חוזה או מכוח דין; הגישה מוגבלת לנדרש לתפעול ולתמיכה.

4.2 אבטחה: PolyMatch מיישמת את האמצעים הטכניים והארגוניים שבנספח A ומתאימה אותם להתפתחות הסיכונים, מבלי להפחית את רמתם הכוללת.

4.3 רישום ושיתוף פעולה: PolyMatch מנהלת את רשומת הקטגוריות של פעולות העיבוד המבוצעות עבור הלקוח ומשתפת פעולה, לפי בקשה, עם רשות הפיקוח.

5. מעבדי משנה

5.1 הלקוח מעניק הרשאה כללית להתקשרות עם מעבדי המשנה המפורטים בנספח B, המשקף את הרשימה שפורסמה במדיניות הפרטיות.

5.2 PolyMatch מיידעת את הלקוח בדואר אלקטרוני על כל הוספה או החלפה לפחות שלושים יום לפני כניסתה לתוקף. הלקוח רשאי להתנגד בכתב, מטעמים לגיטימיים של הגנת נתונים, בתוך תקופה זו; בהיעדר הסכמה, הלקוח רשאי לסיים את החוזה לפני כניסת השינוי לתוקף, ללא קנס.

5.3 PolyMatch מטילה על כל מעבד משנה, בחוזה, התחייבויות להגנת נתונים השקולות להתחייבויותיה שלה, ונותרת אחראית כלפי הלקוח לקיומן.

6. סיוע וזכויות נושאי המידע

6.1 בהתחשב במהות העיבוד, PolyMatch מסייעת ללקוח להשיב לבקשות של נושאי מידע המממשים את זכויותיהם (עיון, תיקון, מחיקה, הגבלה, ניידות, התנגדות). ללקוח עומדים, בתוך הפלטפורמה, האמצעים לעיין בנתוני הלקוח, לתקנם ולמחקם; PolyMatch מתערבת לפי בקשה בכתב לגבי מה שהפלטפורמה אינה מאפשרת, בתוך עשרה ימי עבודה.

6.2 אם נושא מידע פונה ישירות ל-PolyMatch בנוגע לנתוני הלקוח, PolyMatch מעבירה את הבקשה ללקוח מבלי להשיב לגופו של עניין, אלא אם הדין מחייב זאת.

6.3 PolyMatch מסייעת ללקוח, במידת המידע העומד לרשותה, לעמוד בהתחייבויותיו בנוגע לאבטחה, להודעה על פרצות ולהערכת השפעה (סעיפים 32 עד 36 ל-GDPR).

7. פרצות אבטחה בנתונים

PolyMatch מודיעה ללקוח על כל פרצה בנתונים אישיים הנוגעת לנתוני הלקוח ללא דיחוי בלתי סביר ולכל המאוחר ארבעים ושמונה שעות לאחר שנודע לה עליה, בדואר אלקטרוני למנהלים של הלקוח. ההודעה מתארת את מהות הפרצה, את הקטגוריות ואת המספר המשוער של נושאי המידע והרשומות הנוגעים בדבר, את ההשלכות הסבירות, את האמצעים שננקטו או שהוצעו, ואת נקודת הקשר; מידע שעדיין אינו זמין נמסר ברגע שהוא זמין.

8. העברות אל מחוץ לאיחוד האירופי

נתוני הלקוח מאוחסנים באיחוד האירופי. כל העברה למדינה שלישית על ידי מעבד משנה נשענת על החלטת הלימות או על הסעיפים החוזיים התקניים של הנציבות האירופית, עם אמצעים משלימים מתאימים; נספח B מציין את אמצעי ההגנה החל על כל מעבד משנה.

9. ביקורת

9.1 PolyMatch מעמידה לרשות הלקוח את המידע הנדרש להוכחת עמידה בהסכם זה: תיאור אמצעי האבטחה, רשימת מעבדי המשנה, תשובות לשאלון בכתב פעם בשנה.

9.2 ביקורת באתר, או ביקורת על ידי צד שלישי בלתי תלוי, אפשרית פעם בשנה, או לאחר פרצה בנתונים או לבקשת רשות, בהודעה מוקדמת בכתב של שלושים יום, בשעות העבודה, מבלי לשבש את הפעילות או להעניק גישה לנתונים של לקוחות אחרים, על חשבון הלקוח. הממצאים חסויים.

10. סיום העיבוד

10.1 בתום החוזה, PolyMatch מוחקת את נתוני הלקוח בתוך שלושים יום, אלא אם חלה חובת שמירה על פי דין, ובמקרה כזה הנתונים נשמרים בבידוד עד לפקיעת אותה חובה. הלקוח מייצא בעצמו את נתוניו לפני סיום החוזה באמצעות הפונקציות של הפלטפורמה.

10.2 נתוני לקוח שכבר הועברו, לפי הוראת הלקוח, לחברה אחרת באמצעות פתיחה, הצעה או שיתוף מסמכים נותרים אצל אותה חברה, שהיא בקר הנתונים לגביהם. המשך הופעת הגריידים בפלטפורמה לאחר סיום החוזה (סעיף 12.5 לתנאים) נוגע לנתונים טכניים ולנתוני חברה, שאינם נתוני לקוח.

11. אחריות ותקופה

11.1 אחריותו של כל צד לפי הסכם זה כפופה למגבלות סעיף 13 לתנאי השימוש, אלא אם הוראות מחייבות של ה-GDPR קובעות אחרת.

11.2 הסכם זה חל במשך כל תקופת החוזה ועד למחיקת נתוני הלקוח. הוא כפוף לדין הפולני; במקרה של סתירה עם התנאים בעניין הנוגע לנתונים אישיים, הסכם זה גובר.

נספח A — אמצעים טכניים וארגוניים

• אירוח הנתונים והקבצים באיחוד האירופי (אירלנד), אצל נותן שירות בעל הסמכות ISO 27001 ו-SOC 2.
• הצפנת התקשורת (TLS 1.2 ומעלה) והנתונים במנוחה.
• הפרדת נתונים לפי חברה ולפי תפקיד, הנאכפת ברמת מסד הנתונים (בקרת גישה ברמת השורה); אין גישה ישירה מהדפדפן לטבלאות רגישות; פונקציות רגישות ניתנות להרצה על ידי השרת בלבד.
• אימות באמצעות סיסמה מגובבת, הגנה מפני סיסמאות שנפרצו, פקיעת ההפעלה לאחר 7 ימים של חוסר פעילות, בדיקת אנטי-בוט בעת הרשמה, התחברות ואיפוס סיסמה, הגבלת קצב.
• גישה לקבצים באמצעות קישורים חתומים מוגבלים בזמן; רישום של המסמכים המשותפים בין חברות.
• סודות טכניים הנשמרים בכספת ייעודית, לעולם לא בקוד; גישת מנהלי מערכת שמית ומתועדת.
• גיבויים מוצפנים, עותק של הקבצים אצל נותן שירות שני; נוהל שחזור.
• תיעוד פעולות ושגיאות; התרעה כאשר שליחת הודעה חוזית נכשלת.
• פיתוח עם בדיקות אוטומטיות, סקירה ומנגנוני הגנת אבטחה לפני כל גרסה; ביקורת אבטחה לפני ההשקה ולאחר כל שינוי משמעותי.
• מעבדי משנה המחויבים בהסכם עיבוד נתונים; בדיקת ההסמכות שלהם ואמצעי ההגנה על ההעברה.
• נוהל לטיפול בפרצות: גילוי, בלימה, ניתוח, הודעה (סעיף 7), אמצעים מתקנים.

נספח B — מעבדי משנה

רשימה הנגישה ללקוחות בתוך "החברה שלי" (מסמכי החוזה). כל שינוי כפוף לנוהל שבסעיף 5.