Adatfeldolgozási szerződés (DPA) — a Felhasználási feltételek 1. melléklete

Az 1.0 verzió — 2026. november 3. E szerződés (umowa powierzenia przetwarzania danych osobowych, GDPR 28. cikk) a PolyMatch-fiókkal rendelkező Cég (az „Ügyfél”) és [Utónév VEZETÉKNÉV], [székhely címe], Lengyelország, NIP [NIP] (a „PolyMatch”) között jön létre. Az Ügyfél kötelezettségvállalására jogosult személy a Felhasználási feltételekkel együtt fogadja el; az Ügyfél nevére szóló, keltezett példánya a Cégem oldalon tölthető le.

1. Tárgy és hatály

1.1 E szerződés szabályozza a harmadik személyek azon személyes adatainak a PolyMatch által az Ügyfél nevében végzett kezelését, amelyeket az Ügyfél által a Platformra feltöltött vagy ott megadott tartalom tartalmaz (az „Ügyféladatok”): alvállalkozóinak, ügyfeleinek vagy partnereinek elérhetőségei, a dokumentumaiban, üzeneteiben, projektjeiben vagy ajánlataiban megnevezett személyek.

1.2 Nem minősülnek Ügyféladatnak, és azokat a PolyMatch önálló adatkezelőként, az Adatvédelmi irányelvnek megfelelően kezeli: az Ügyfél Felhasználóinak fiókjai, a Cég azonosító és listázási adatai, a Grade-ek műszaki adatai, a Projektek műszaki vonatkozásukban, a Leadek, a Találatok és a rangsorok, a számlázás, a biztonsági és tevékenységnaplók, a hozzájárulások. A Cégek között egy Feloldást követően kicserélt adatok tekintetében az Ügyfél és a PolyMatch egyaránt önálló adatkezelő.

1.3 Az adatkezelés leírása: jellege — tárolás, megőrzés, megjelenítés az Ügyfél és Felhasználói számára, továbbítás azoknak a Cégeknek, amelyekkel az Ügyfél a Platformon keresztül kapcsolatba lép, az üzenetek automatikus fordítása, biztonsági mentés; célja — a Feltételekben leírt szolgáltatások nyújtása; időtartama — a szerződés időtartama; az érintettek kategóriái — az Ügyfél alvállalkozóinak, ügyfeleinek és partnereinek üzleti kapcsolattartói, a Felhasználói által említett személyek; az adatok kategóriái — szakmai személyazonosság, beosztás, üzleti elérhetőségek, az üzenetek és dokumentumok tartalma; a személyes adatok különleges kategóriái (GDPR 9. cikk) nem várhatók, és az Ügyfél vállalja, hogy ilyeneket nem tölt fel.

2. Az Ügyfél utasításai

2.1 A PolyMatch az Ügyféladatokat kizárólag az Ügyfél dokumentált utasításai alapján kezeli. Az utasítások a következők: a Felhasználási feltételek, e szerződés, valamint az Ügyfél és Felhasználói által a Platformon végzett műveletek (feltöltés, megosztás, küldés, törlés).

2.2 Ha a PolyMatch úgy ítéli meg, hogy egy utasítás sérti a GDPR-t vagy más adatvédelmi rendelkezéseket, haladéktalanul tájékoztatja az Ügyfelet. A PolyMatch utasítás nélkül is kezelheti az Ügyféladatokat, ha azt uniós vagy tagállami jog előírja; ilyenkor tájékoztatja az Ügyfelet, kivéve, ha ezt jogszabály tiltja.

3. Az Ügyfél kötelezettségei

Az Ügyfél szavatolja, hogy rendelkezik jogalappal az Ügyféladatok tekintetében, hogy tájékoztatta az érintetteket, hogy utasításai jogszerűek, és hogy az Ügyféladatokat a szükséges mértékre korlátozza. Kizárólag ő válaszol az érintettek és a hatóságok Ügyféladatokkal kapcsolatos megkereséseire, a PolyMatch 6. cikk szerinti segítségével.

4. A PolyMatch kötelezettségei

4.1 Titoktartás: az Ügyféladatok kezelésére jogosult személyeket szerződés vagy jogszabály alapján titoktartási kötelezettség terheli; a hozzáférés a működéshez és a támogatáshoz szükséges mértékre korlátozódik.

4.2 Biztonság: a PolyMatch végrehajtja az A. mellékletben foglalt technikai és szervezési intézkedéseket, és azokat a kockázatok alakulásához igazítja, anélkül hogy azok általános szintjét csökkentené.

4.3 Nyilvántartás és együttműködés: a PolyMatch vezeti az Ügyfél számára végzett adatkezelési tevékenységek kategóriáinak nyilvántartását, és kérésre együttműködik a felügyeleti hatósággal.

5. További adatfeldolgozók

5.1 Az Ügyfél általános felhatalmazást ad a B. mellékletben felsorolt további adatfeldolgozók igénybevételére; e melléklet az Adatvédelmi irányelvben közzétett listát veszi át.

5.2 A PolyMatch e-mailben tájékoztatja az Ügyfelet minden új adatfeldolgozó bevonásáról vagy cseréjéről, legalább harminc nappal annak hatálybalépése előtt. Az Ügyfél ezen időszakon belül, jogos adatvédelmi okokból, írásban tiltakozhat; megállapodás hiányában az Ügyfél a változás hatálybalépése előtt kötbér nélkül felmondhatja a szerződést.

5.3 A PolyMatch szerződésben minden további adatfeldolgozóra a sajátjával egyenértékű adatvédelmi kötelezettségeket ró, és azok teljesítéséért az Ügyféllel szemben felelős marad.

6. Segítségnyújtás és az érintettek jogai

6.1 Az adatkezelés jellegét figyelembe véve a PolyMatch segíti az Ügyfelet a jogaikat gyakorló érintettek kérelmeinek megválaszolásában (hozzáférés, helyesbítés, törlés, korlátozás, adathordozhatóság, tiltakozás). Az Ügyfél a Platformon belül rendelkezik az Ügyféladatok megtekintéséhez, javításához és törléséhez szükséges eszközökkel; a PolyMatch írásbeli kérésre tíz munkanapon belül közreműködik abban, amit a Platform nem tesz lehetővé.

6.2 Ha egy érintett az Ügyféladatokkal kapcsolatban közvetlenül a PolyMatch-hez fordul, a PolyMatch a kérelmet érdemi válasz nélkül továbbítja az Ügyfélnek, kivéve, ha jogszabály ezt előírja.

6.3 A PolyMatch a rendelkezésére álló információk erejéig segíti az Ügyfelet a biztonsággal, az adatvédelmi incidensek bejelentésével és a hatásvizsgálattal kapcsolatos kötelezettségei teljesítésében (GDPR 32–36. cikk).

7. Adatvédelmi incidensek

A PolyMatch az Ügyféladatokat érintő minden adatvédelmi incidensről indokolatlan késedelem nélkül, de legkésőbb az arról való tudomásszerzéstől számított negyvennyolc órán belül értesíti az Ügyfelet, az Ügyfél Adminisztrátorainak küldött e-mailben. Az értesítés ismerteti az incidens jellegét, az érintettek és az érintett adatrekordok kategóriáit és hozzávetőleges számát, a valószínű következményeket, a megtett vagy javasolt intézkedéseket, valamint a kapcsolattartási pontot; a még nem elérhető információkat azok rendelkezésre állását követően haladéktalanul közöljük.

8. Adattovábbítás az Európai Unión kívülre

Az Ügyféladatokat az Európai Unióban tároljuk. Egy további adatfeldolgozó által harmadik országba történő bármely adattovábbítás megfelelőségi határozaton vagy az Európai Bizottság által elfogadott általános adatvédelmi kikötéseken alapul, megfelelő kiegészítő intézkedésekkel; a B. melléklet minden további adatfeldolgozó esetében megjelöli az alkalmazandó garanciát.

9. Ellenőrzés

9.1 A PolyMatch az Ügyfél rendelkezésére bocsátja az e szerződésnek való megfelelés igazolásához szükséges információkat: a biztonsági intézkedések leírását, a további adatfeldolgozók listáját, évente egyszer válaszokat egy írásbeli kérdőívre.

9.2 Helyszíni ellenőrzésre vagy független harmadik fél által végzett ellenőrzésre évente egyszer, illetve adatvédelmi incidenst követően vagy hatósági kérésre van lehetőség, harminc nappal korábbi írásbeli értesítés mellett, munkaidőben, a működés megzavarása és más ügyfelek adataihoz való hozzáférés biztosítása nélkül, az Ügyfél költségére. A megállapítások bizalmasak.

10. Az adatkezelés befejezése

10.1 A szerződés megszűnésekor a PolyMatch harminc napon belül törli az Ügyféladatokat, kivéve, ha jogszabályi megőrzési kötelezettség áll fenn; ebben az esetben az adatokat e kötelezettség megszűnéséig elkülönítve őrizzük meg. Az Ügyfél a szerződés megszűnése előtt maga exportálja adatait a Platform funkcióin keresztül.

10.2 Azok az Ügyféladatok, amelyeket az Ügyfél utasítására egy Feloldás, egy Ajánlat vagy dokumentummegosztás útján már továbbítottak egy másik Cégnek, annál a Cégnél maradnak, amely azok adatkezelője. A Grade-ek listázásának a szerződés megszűnését követő fenntartása (a Feltételek 12.5. cikke) műszaki és céges adatokra vonatkozik, amelyek nem Ügyféladatok.

11. Felelősség és időtartam

11.1 Az egyes felek e szerződés szerinti felelősségére a Felhasználási feltételek 13. cikkében foglalt korlátozások vonatkoznak, kivéve, ha a GDPR kógens rendelkezései másként rendelkeznek.

11.2 E szerződés a szerződés teljes időtartama alatt és az Ügyféladatok törléséig alkalmazandó. Rá a lengyel jog az irányadó; a Feltételekkel való, személyes adatokat érintő kérdésben fennálló ellentmondás esetén e szerződés az irányadó.

A. melléklet — Technikai és szervezési intézkedések

• Az adatok és a fájlok tárolása az Európai Unióban (Írország), ISO 27001 és SOC 2 tanúsítvánnyal rendelkező szolgáltatónál.
• A kommunikáció (TLS 1.2 vagy újabb) és a tárolt adatok titkosítása.
• Az adatok Cégenkénti és szerepkörönkénti elkülönítése, adatbázisszinten kikényszerítve (sorszintű hozzáférés-szabályozás); a böngészőből nincs közvetlen hozzáférés az érzékeny táblákhoz; az érzékeny funkciókat kizárólag a szerver futtathatja.
• Hitelesítés hash formában tárolt jelszóval, védelem a kompromittált jelszavak ellen, a munkamenet lejárata 7 nap inaktivitás után, robotszűrő ellenőrzés regisztrációkor, bejelentkezéskor és jelszó-visszaállításkor, a kérések számának korlátozása.
• Hozzáférés a fájlokhoz korlátozott idejű, aláírt hivatkozásokon keresztül; a Cégek között megosztott dokumentumok nyilvántartása.
• A műszaki titkok külön erre szolgáló tárolóban, soha nem a kódban; névre szóló és naplózott adminisztrátori hozzáférés.
• Titkosított biztonsági mentések, a fájlok másolata egy második szolgáltatónál; helyreállítási eljárás.
• A műveletek és a hibák naplózása; riasztás, ha egy szerződéses közlemény elküldése sikertelen.
• Fejlesztés automatizált tesztekkel, felülvizsgálattal és biztonsági ellenőrzésekkel minden kiadás előtt; biztonsági audit az indulás előtt és minden jelentős változtatás után.
• Adatfeldolgozási szerződéssel kötelezett további adatfeldolgozók; tanúsításaik és adattovábbítási garanciáik ellenőrzése.
• Incidenskezelési eljárás: észlelés, elszigetelés, elemzés, értesítés (7. cikk), korrekciós intézkedések.

B. melléklet — További adatfeldolgozók

A lista az Ügyfelek számára a Cégem oldalon (Szerződéses dokumentumok) érhető el. Bármely változás az 5. cikkben meghatározott eljárást követi.