Perjanjian Pemrosesan Data (DPA) — Lampiran 1 Ketentuan Penggunaan

Versi 1.0 — 3 November 2026. Perjanjian ini (umowa powierzenia przetwarzania danych osobowych, Pasal 28 GDPR) dibuat antara Perusahaan yang memiliki akun PolyMatch ("Klien") dan [Nama depan NAMA BELAKANG], [alamat terdaftar], Polandia, NIP [NIP] ("PolyMatch"). Perjanjian ini diterima bersama dengan Ketentuan Penggunaan oleh orang yang berwenang untuk mengikat Klien; salinan bertanggal atas nama Klien dapat diunduh di "Perusahaan saya".

1. Pokok perjanjian dan ruang lingkup

1.1 Perjanjian ini mengatur pemrosesan oleh PolyMatch, atas nama Klien, data pribadi pihak ketiga yang terdapat dalam konten yang diunggah atau dimasukkan Klien di Platform ("Data Klien"): detail kontak subkontraktor, pelanggan, atau mitranya, serta orang yang disebutkan dalam dokumen, pesan, proyek, atau penawarannya.

1.2 Hal-hal berikut bukan merupakan Data Klien dan diproses oleh PolyMatch sebagai pengendali independen, sesuai dengan Kebijakan Privasi: akun Pengguna Klien, data identifikasi dan pencantuman Perusahaan, data teknis Grade, Proyek dalam dimensi teknisnya, Lead, Kecocokan dan peringkat, penagihan, log keamanan dan aktivitas, persetujuan. Klien dan PolyMatch masing-masing merupakan pengendali independen atas data yang dipertukarkan antar-Perusahaan setelah Pembukaan.

1.3 Uraian pemrosesan: sifat — hosting, penyimpanan, penampilan kepada Klien dan Penggunanya, penerusan kepada Perusahaan yang dihubungi Klien melalui Platform, terjemahan otomatis pesan, pencadangan; tujuan — penyediaan layanan yang dijelaskan dalam Ketentuan; jangka waktu — jangka waktu kontrak; kategori subjek data — kontak kerja dari subkontraktor, pelanggan, dan mitra Klien, orang yang disebutkan oleh Penggunanya; kategori data — identitas profesional, jabatan, detail kontak kerja, isi pesan dan dokumen; tidak ada kategori data khusus (Pasal 9 GDPR) yang diperkirakan dan Klien berjanji untuk tidak mengunggahnya.

2. Instruksi Klien

2.1 PolyMatch memproses Data Klien hanya berdasarkan instruksi terdokumentasi dari Klien. Instruksi tersebut adalah: Ketentuan Penggunaan, perjanjian ini, dan tindakan yang dilakukan Klien dan Penggunanya di Platform (pengunggahan, berbagi, pengiriman, penghapusan).

2.2 Apabila PolyMatch berpendapat bahwa suatu instruksi melanggar GDPR atau ketentuan pelindungan data lainnya, PolyMatch segera memberi tahu Klien. PolyMatch dapat memproses Data Klien tanpa instruksi apabila diwajibkan oleh hukum Uni atau Negara Anggota; dalam hal demikian PolyMatch memberi tahu Klien, kecuali dilarang oleh hukum.

3. Kewajiban Klien

Klien menjamin bahwa ia memiliki dasar hukum atas Data Klien, bahwa ia telah memberi tahu subjek data, bahwa instruksinya sah, dan bahwa ia membatasi Data Klien pada yang diperlukan. Hanya Klien yang menjawab permintaan dari subjek data dan otoritas mengenai Data Klien, dengan bantuan PolyMatch berdasarkan Pasal 6.

4. Kewajiban PolyMatch

4.1 Kerahasiaan: orang yang berwenang memproses Data Klien terikat kewajiban kerahasiaan berdasarkan kontrak atau hukum; akses dibatasi pada yang diperlukan untuk operasional dan dukungan.

4.2 Keamanan: PolyMatch menerapkan langkah-langkah teknis dan organisasional dalam Lampiran A dan menyesuaikannya dengan perkembangan risiko, tanpa menurunkan tingkat keseluruhannya.

4.3 Catatan dan kerja sama: PolyMatch menyimpan catatan kategori kegiatan pemrosesan yang dilakukan untuk Klien dan, atas permintaan, bekerja sama dengan otoritas pengawas.

5. Subpemroses

5.1 Klien memberikan otorisasi umum untuk penggunaan subpemroses yang tercantum dalam Lampiran B, yang memuat ulang daftar yang dipublikasikan dalam Kebijakan Privasi.

5.2 PolyMatch memberi tahu Klien melalui e-mail mengenai setiap penambahan atau penggantian sekurang-kurangnya tiga puluh hari sebelum berlaku. Klien dapat mengajukan keberatan secara tertulis, atas dasar alasan pelindungan data yang sah, dalam jangka waktu tersebut; apabila tidak tercapai kesepakatan, Klien dapat mengakhiri kontrak sebelum perubahan berlaku, tanpa denda.

5.3 PolyMatch, melalui kontrak, mewajibkan setiap subpemroses untuk mematuhi kewajiban pelindungan data yang setara dengan kewajibannya sendiri dan tetap bertanggung jawab kepada Klien atas pelaksanaannya.

6. Bantuan dan hak subjek data

6.1 Dengan mempertimbangkan sifat pemrosesan, PolyMatch membantu Klien dalam menanggapi permintaan dari subjek data yang menggunakan hak-haknya (akses, perbaikan, penghapusan, pembatasan, portabilitas, keberatan). Klien memiliki sarana di dalam Platform untuk melihat, mengoreksi, dan menghapus Data Klien; PolyMatch bertindak atas permintaan tertulis untuk hal-hal yang tidak dimungkinkan oleh Platform, dalam waktu sepuluh hari kerja.

6.2 Apabila subjek data menghubungi PolyMatch secara langsung mengenai Data Klien, PolyMatch meneruskan permintaan tersebut kepada Klien tanpa menjawab pokok permintaannya, kecuali diwajibkan oleh hukum.

6.3 PolyMatch membantu Klien, sejauh informasi yang tersedia baginya, dalam memenuhi kewajibannya terkait keamanan, pemberitahuan pelanggaran, dan penilaian dampak (Pasal 32 sampai 36 GDPR).

7. Pelanggaran data

PolyMatch memberi tahu Klien mengenai setiap pelanggaran data pribadi yang memengaruhi Data Klien tanpa penundaan yang tidak semestinya dan paling lambat empat puluh delapan jam setelah mengetahuinya, melalui e-mail kepada para Administrator Klien. Pemberitahuan tersebut menguraikan sifat pelanggaran, kategori dan perkiraan jumlah subjek data dan catatan yang terdampak, kemungkinan akibatnya, langkah-langkah yang diambil atau diusulkan, serta titik kontak; informasi yang belum tersedia diberikan segera setelah tersedia.

8. Transfer ke luar Uni Eropa

Data Klien di-hosting di Uni Eropa. Setiap transfer ke negara ketiga oleh subpemroses didasarkan pada keputusan kecukupan atau pada klausul kontraktual standar Komisi Eropa, dengan langkah-langkah tambahan yang sesuai; Lampiran B menunjukkan perlindungan yang berlaku untuk masing-masing subpemroses.

9. Audit

9.1 PolyMatch menyediakan bagi Klien informasi yang diperlukan untuk menunjukkan kepatuhan terhadap perjanjian ini: uraian langkah-langkah keamanan, daftar subpemroses, jawaban atas kuesioner tertulis sekali setahun.

9.2 Audit di lokasi, atau audit oleh pihak ketiga yang independen, dapat dilakukan sekali setahun, atau setelah terjadi pelanggaran data atau atas permintaan otoritas, dengan pemberitahuan tertulis tiga puluh hari sebelumnya, selama jam kerja, tanpa mengganggu operasional atau memberikan akses ke data klien lain, atas biaya Klien. Temuan audit bersifat rahasia.

10. Berakhirnya pemrosesan

10.1 Pada akhir kontrak, PolyMatch menghapus Data Klien dalam waktu tiga puluh hari, kecuali berlaku kewajiban penyimpanan berdasarkan hukum, dalam hal mana data disimpan secara terpisah hingga kewajiban tersebut berakhir. Klien mengekspor sendiri datanya sebelum berakhirnya kontrak melalui fungsi-fungsi Platform.

10.2 Data Klien yang telah diteruskan, atas instruksi Klien, kepada Perusahaan lain melalui Pembukaan, Penawaran, atau berbagi dokumen tetap berada pada Perusahaan tersebut, yang menjadi pengendalinya. Pencantuman Grade yang berlanjut setelah berakhirnya kontrak (Pasal 12.5 Ketentuan) berkaitan dengan data teknis dan data perusahaan, yang bukan merupakan Data Klien.

11. Tanggung jawab dan jangka waktu

11.1 Tanggung jawab masing-masing pihak berdasarkan perjanjian ini tunduk pada pembatasan dalam Pasal 13 Ketentuan Penggunaan, kecuali apabila ketentuan GDPR yang bersifat memaksa menentukan lain.

11.2 Perjanjian ini berlaku selama seluruh jangka waktu kontrak dan sampai Data Klien dihapus. Perjanjian ini tunduk pada hukum Polandia; apabila terjadi pertentangan dengan Ketentuan mengenai hal yang berkaitan dengan data pribadi, perjanjian ini yang berlaku.

Lampiran A — Langkah-langkah teknis dan organisasional

• Hosting data dan file di Uni Eropa (Irlandia), pada penyedia yang bersertifikat ISO 27001 dan SOC 2.
• Enkripsi komunikasi (TLS 1.2 atau lebih tinggi) dan data tersimpan.
• Pemisahan data per Perusahaan dan per peran, yang diberlakukan pada tingkat basis data (kontrol akses tingkat baris); tidak ada akses langsung dari peramban ke tabel sensitif; fungsi sensitif hanya dapat dijalankan oleh server.
• Autentikasi dengan kata sandi dalam bentuk hash, perlindungan terhadap kata sandi yang telah bocor, berakhirnya sesi setelah 7 hari tidak aktif, pemeriksaan anti-bot pada saat pendaftaran, login, dan pengaturan ulang kata sandi, pembatasan laju permintaan.
• Akses ke file melalui tautan bertanda tangan yang berlaku terbatas waktu; register dokumen yang dibagikan antar-Perusahaan.
• Rahasia teknis disimpan dalam brankas khusus, tidak pernah dalam kode; akses administrator yang bernama dan tercatat.
• Cadangan terenkripsi, salinan file pada penyedia kedua; prosedur pemulihan.
• Pencatatan tindakan dan kesalahan; peringatan apabila suatu komunikasi kontraktual gagal dikirim.
• Pengembangan dengan pengujian otomatis, peninjauan, dan pengaman keamanan sebelum setiap rilis; audit keamanan sebelum peluncuran dan setelah setiap perubahan besar.
• Subpemroses yang terikat perjanjian pemrosesan data; verifikasi sertifikasi dan perlindungan transfer mereka.
• Prosedur penanganan pelanggaran: deteksi, penahanan, analisis, pemberitahuan (Pasal 7), langkah-langkah perbaikan.

Lampiran B — Subpemroses

Daftar dapat diakses oleh Klien di "Perusahaan saya" (Dokumen kontrak). Setiap perubahan mengikuti prosedur dalam Pasal 5.