Ugovor o obradi podataka (DPA) — Prilog 1 Uvjetima korištenja

Verzija 1.0 — 3. studenoga 2026. Ovaj ugovor (umowa powierzenia przetwarzania danych osobowych, članak 28. GDPR-a) sklapa se između Tvrtke koja ima račun na platformi PolyMatch („Klijent”) i [Ime PREZIME], [adresa sjedišta], Poljska, NIP [NIP] („PolyMatch”). Prihvaća ga zajedno s Uvjetima korištenja osoba ovlaštena obvezivati Klijenta; datirani primjerak na ime Klijenta može se preuzeti u odjeljku Moja tvrtka.

1. Predmet i područje primjene

1.1 Ovim se ugovorom uređuje obrada koju PolyMatch u ime Klijenta provodi nad osobnim podacima trećih osoba sadržanima u sadržaju koji Klijent učitava ili unosi na Platformu („Podaci Klijenta”): kontaktni podaci njegovih podizvođača, klijenata ili partnera, osobe navedene u njegovim dokumentima, porukama, projektima ili ponudama.

1.2 Sljedeće nisu Podaci Klijenta i PolyMatch ih obrađuje kao samostalni voditelj obrade, u skladu s Politikom privatnosti: računi Korisnika Klijenta, identifikacijski podaci i podaci o uvrštenju Tvrtke na popis, tehnički podaci Gradeova, Projekti u svojoj tehničkoj dimenziji, Upiti, Poklapanja i rangiranja, izdavanje računa, sigurnosni zapisi i zapisi aktivnosti, privole. Klijent i PolyMatch svaki su samostalni voditelji obrade podataka koji se razmjenjuju među Tvrtkama nakon Otključavanja.

1.3 Opis obrade: narav — smještaj, pohrana, prikaz Klijentu i njegovim Korisnicima, prijenos Tvrtkama s kojima Klijent putem Platforme uspostavlja kontakt, automatski prijevod poruka, sigurnosno kopiranje; svrha — pružanje usluga opisanih u Uvjetima; trajanje — trajanje ugovora; kategorije ispitanika — poslovni kontakti podizvođača, klijenata i partnera Klijenta, osobe koje spominju njegovi Korisnici; kategorije podataka — profesionalni identitet, funkcija, poslovni kontaktni podaci, sadržaj poruka i dokumenata; ne očekuju se posebne kategorije podataka (članak 9. GDPR-a), a Klijent se obvezuje da ih neće učitavati.

2. Upute Klijenta

2.1 PolyMatch obrađuje Podatke Klijenta isključivo prema zabilježenim uputama Klijenta. Upute su: Uvjeti korištenja, ovaj ugovor i radnje koje Klijent i njegovi Korisnici izvršavaju na Platformi (učitavanje, dijeljenje, slanje, brisanje).

2.2 Ako PolyMatch smatra da se nekom uputom krši GDPR ili druge odredbe o zaštiti podataka, bez odgode o tome obavještava Klijenta. PolyMatch može obrađivati Podatke Klijenta bez upute kada to zahtijeva pravo Unije ili pravo države članice; u tom slučaju obavještava Klijenta, osim ako je to zakonom zabranjeno.

3. Obveze Klijenta

Klijent jamči da ima pravnu osnovu za Podatke Klijenta, da je obavijestio ispitanike, da su njegove upute zakonite i da Podatke Klijenta ograničava na ono što je nužno. Samo on odgovara na zahtjeve ispitanika i tijela koji se odnose na Podatke Klijenta, uz pomoć društva PolyMatch u skladu s člankom 6.

4. Obveze društva PolyMatch

4.1 Povjerljivost: osobe ovlaštene za obradu Podataka Klijenta obvezane su na povjerljivost ugovorom ili zakonom; pristup je ograničen na ono što je nužno za rad i podršku.

4.2 Sigurnost: PolyMatch provodi tehničke i organizacijske mjere iz Priloga A i prilagođava ih razvoju rizika, ne snižavajući njihovu ukupnu razinu.

4.3 Evidencija i suradnja: PolyMatch vodi evidenciju kategorija aktivnosti obrade koje provodi za Klijenta i na zahtjev surađuje s nadzornim tijelom.

5. Podizvršitelji obrade

5.1 Klijent daje opće odobrenje za angažiranje podizvršitelja obrade navedenih u Prilogu B, koji preuzima popis objavljen u Politici privatnosti.

5.2 PolyMatch e-poštom obavještava Klijenta o svakom dodavanju ili zamjeni najmanje trideset dana prije njihova stupanja na snagu. Klijent u tom roku može pisanim putem podnijeti prigovor iz opravdanih razloga povezanih sa zaštitom podataka; ako se ne postigne dogovor, Klijent može raskinuti ugovor prije stupanja promjene na snagu, bez ugovorne kazne.

5.3 PolyMatch svakom podizvršitelju obrade ugovorom nameće obveze zaštite podataka istovjetne svojima i ostaje odgovoran Klijentu za njihovo ispunjavanje.

6. Pomoć i prava ispitanika

6.1 Uzimajući u obzir narav obrade, PolyMatch pomaže Klijentu u odgovaranju na zahtjeve ispitanika koji ostvaruju svoja prava (pristup, ispravak, brisanje, ograničenje, prenosivost, prigovor). Klijent na Platformi raspolaže sredstvima za pregled, ispravak i brisanje Podataka Klijenta; PolyMatch na pisani zahtjev intervenira za ono što Platforma ne omogućuje, u roku od deset radnih dana.

6.2 Ako se ispitanik izravno obrati društvu PolyMatch u vezi s Podacima Klijenta, PolyMatch prosljeđuje zahtjev Klijentu, ne odgovarajući o meritumu, osim ako je to zakonski obvezan učiniti.

6.3 PolyMatch pomaže Klijentu, u mjeri u kojoj mu informacije stoje na raspolaganju, u ispunjavanju njegovih obveza u pogledu sigurnosti, izvješćivanja o povredama i procjene učinka (članci 32. do 36. GDPR-a).

7. Povrede podataka

PolyMatch obavještava Klijenta o svakoj povredi osobnih podataka koja utječe na Podatke Klijenta bez nepotrebnog odgađanja, a najkasnije četrdeset osam sati nakon što sazna za nju, e-poštom Administratorima Klijenta. U obavijesti se opisuju narav povrede, kategorije i približan broj dotičnih ispitanika i zapisa, vjerojatne posljedice, poduzete ili predložene mjere te kontaktna točka; informacije koje još nisu dostupne dostavljaju se čim postanu dostupne.

8. Prijenosi izvan Europske unije

Podaci Klijenta smještaju se u Europskoj uniji. Svaki prijenos u treću zemlju koji provodi podizvršitelj obrade temelji se na odluci o primjerenosti ili na standardnim ugovornim klauzulama Europske komisije, uz odgovarajuće dopunske mjere; u Prilogu B navodi se zaštitna mjera primjenjiva na svakog podizvršitelja obrade.

9. Revizija

9.1 PolyMatch Klijentu stavlja na raspolaganje informacije potrebne za dokazivanje usklađenosti s ovim ugovorom: opis sigurnosnih mjera, popis podizvršitelja obrade, odgovore na pisani upitnik jednom godišnje.

9.2 Revizija na licu mjesta ili revizija koju provodi neovisna treća osoba moguća je jednom godišnje, ili nakon povrede podataka, ili na zahtjev tijela, uz pisanu najavu od trideset dana, tijekom radnog vremena, bez ometanja poslovanja i bez davanja pristupa podacima drugih klijenata, o trošku Klijenta. Nalazi su povjerljivi.

10. Prestanak obrade

10.1 Po prestanku ugovora PolyMatch briše Podatke Klijenta u roku od trideset dana, osim ako se primjenjuje zakonska obveza čuvanja, u kojem se slučaju podaci čuvaju izdvojeno do isteka te obveze. Klijent sam izvozi svoje podatke prije prestanka ugovora putem funkcija Platforme.

10.2 Podaci Klijenta koji su, prema uputi Klijenta, već preneseni drugoj Tvrtki putem Otključavanja, Ponude ili dijeljenja dokumenata ostaju kod te Tvrtke, koja je njihov voditelj obrade. Daljnje uvrštenje Gradeova na popis nakon prestanka ugovora (članak 12.5 Uvjeta) odnosi se na tehničke podatke i podatke o tvrtki, koji nisu Podaci Klijenta.

11. Odgovornost i trajanje

11.1 Odgovornost svake strane na temelju ovog ugovora podliježe ograničenjima iz članka 13. Uvjeta korištenja, osim ako prisilne odredbe GDPR-a propisuju drukčije.

11.2 Ovaj se ugovor primjenjuje tijekom cijelog trajanja ugovora i do brisanja Podataka Klijenta. Na njega se primjenjuje poljsko pravo; u slučaju proturječja s Uvjetima u pitanju koje se odnosi na osobne podatke prednost ima ovaj ugovor.

Prilog A — Tehničke i organizacijske mjere

• Smještaj podataka i datoteka u Europskoj uniji (Irska), kod pružatelja certificiranog prema normama ISO 27001 i SOC 2.
• Šifriranje komunikacije (TLS 1.2 ili noviji) i pohranjenih podataka.
• Odvajanje podataka po Tvrtki i po ulozi, provedeno na razini baze podataka (kontrola pristupa na razini retka); nema izravnog pristupa osjetljivim tablicama iz preglednika; osjetljive funkcije može izvršavati samo poslužitelj.
• Autentifikacija hashiranom lozinkom, zaštita od kompromitiranih lozinki, istek sesije nakon 7 dana neaktivnosti, provjera protiv botova pri registraciji, prijavi i ponovnom postavljanju lozinke, ograničavanje broja zahtjeva.
• Pristup datotekama putem potpisanih poveznica s ograničenim trajanjem; evidencija dokumenata dijeljenih među Tvrtkama.
• Tehničke tajne pohranjene u namjenskom trezoru, nikada u kodu; poimenični i bilježeni administratorski pristup.
• Šifrirane sigurnosne kopije, kopija datoteka kod drugog pružatelja; postupak obnove.
• Bilježenje radnji i pogrešaka; upozorenje kada slanje ugovornog priopćenja ne uspije.
• Razvoj uz automatizirana testiranja, pregled i sigurnosne zaštite prije svakog izdanja; sigurnosna revizija prije pokretanja i nakon svake veće promjene.
• Podizvršitelji obrade obvezani ugovorom o obradi podataka; provjera njihovih certifikacija i zaštitnih mjera za prijenos.
• Postupak upravljanja povredama: otkrivanje, ograničavanje, analiza, obavješćivanje (članak 7.), korektivne mjere.

Prilog B — Podizvršitelji obrade

Popis je Klijentima dostupan u odjeljku Moja tvrtka (Ugovorni dokumenti). Svaka promjena slijedi postupak iz članka 5.