Accordo sul Trattamento dei Dati (DPA) — Allegato 1 alle Condizioni d'Uso

Versione 1.0 — 3 novembre 2026. Il presente accordo (umowa powierzenia przetwarzania danych osobowych, articolo 28 del GDPR) è concluso tra l'Azienda titolare di un account PolyMatch (il "Cliente") e [Nome COGNOME], [indirizzo della sede legale], Polonia, NIP [NIP] ("PolyMatch"). Esso è accettato unitamente alle Condizioni d'Uso da una persona autorizzata a impegnare il Cliente; una copia datata intestata al Cliente può essere scaricata da La mia azienda.

1. Oggetto e ambito di applicazione

1.1 Il presente accordo disciplina il trattamento da parte di PolyMatch, per conto del Cliente, dei dati personali di terzi contenuti nei contenuti che il Cliente carica o inserisce sulla Piattaforma ("Dati del Cliente"): recapiti dei suoi subappaltatori, clienti o partner, persone menzionate nei suoi documenti, messaggi, progetti od offerte.

1.2 Non costituiscono Dati del Cliente, e sono trattati da PolyMatch in qualità di titolare autonomo del trattamento conformemente all'Informativa sulla privacy: gli account degli Utenti del Cliente, i dati di identificazione e di presenza sulla Piattaforma dell'Azienda, i dati tecnici dei Grade, i Progetti nella loro dimensione tecnica, i Lead, i Match e gli ordinamenti, la fatturazione, i log di sicurezza e di attività, i consensi. Il Cliente e PolyMatch sono ciascuno titolari autonomi del trattamento dei dati scambiati tra Aziende dopo uno Sblocco.

1.3 Descrizione del trattamento: natura — hosting, archiviazione, visualizzazione al Cliente e ai suoi Utenti, trasmissione alle Aziende con cui il Cliente si mette in contatto tramite la Piattaforma, traduzione automatica dei messaggi, backup; finalità — fornire i servizi descritti nelle Condizioni; durata — la durata del contratto; categorie di interessati — referenti aziendali dei subappaltatori, clienti e partner del Cliente, persone menzionate dai suoi Utenti; categorie di dati — identità professionale, funzione, recapiti aziendali, contenuto dei messaggi e dei documenti; non è previsto alcun trattamento di categorie particolari di dati (articolo 9 del GDPR) e il Cliente si impegna a non caricarne.

2. Istruzioni del Cliente

2.1 PolyMatch tratta i Dati del Cliente esclusivamente su istruzione documentata del Cliente. Le istruzioni sono: le Condizioni d'Uso, il presente accordo e le azioni che il Cliente e i suoi Utenti compiono nella Piattaforma (caricamento, condivisione, invio, eliminazione).

2.2 Se PolyMatch ritiene che un'istruzione violi il GDPR o altre disposizioni in materia di protezione dei dati, ne informa senza indugio il Cliente. PolyMatch può trattare Dati del Cliente senza istruzione qualora lo richieda il diritto dell'Unione o di uno Stato membro; in tal caso ne informa il Cliente, salvo che la legge lo vieti.

3. Obblighi del Cliente

Il Cliente garantisce di disporre di una base giuridica per i Dati del Cliente, di aver informato gli interessati, che le sue istruzioni sono lecite e di limitare i Dati del Cliente a quanto necessario. Esso solo risponde alle richieste degli interessati e delle autorità relative ai Dati del Cliente, con l'assistenza di PolyMatch ai sensi dell'articolo 6.

4. Obblighi di PolyMatch

4.1 Riservatezza: le persone autorizzate a trattare i Dati del Cliente sono vincolate alla riservatezza per contratto o per legge; l'accesso è limitato a quanto necessario per il funzionamento e l'assistenza.

4.2 Sicurezza: PolyMatch attua le misure tecniche e organizzative dell'Allegato A e le adegua all'evoluzione dei rischi, senza ridurne il livello complessivo.

4.3 Registro e cooperazione: PolyMatch tiene il registro delle categorie di attività di trattamento svolte per conto del Cliente e coopera, su richiesta, con l'autorità di controllo.

5. Sub-responsabili del trattamento

5.1 Il Cliente rilascia un'autorizzazione generale al ricorso ai sub-responsabili del trattamento elencati nell'Allegato B, che riproduce l'elenco pubblicato nell'Informativa sulla privacy.

5.2 PolyMatch informa il Cliente via e-mail di qualsiasi aggiunta o sostituzione almeno trenta giorni prima che abbia effetto. Il Cliente può opporsi per iscritto, per motivi legittimi attinenti alla protezione dei dati, entro tale termine; in mancanza di accordo, il Cliente può recedere dal contratto prima che la modifica abbia effetto, senza penali.

5.3 PolyMatch impone per contratto a ciascun sub-responsabile obblighi di protezione dei dati equivalenti ai propri e resta responsabile nei confronti del Cliente del loro adempimento.

6. Assistenza e diritti degli interessati

6.1 Tenendo conto della natura del trattamento, PolyMatch assiste il Cliente nel dare seguito alle richieste degli interessati che esercitano i propri diritti (accesso, rettifica, cancellazione, limitazione, portabilità, opposizione). Il Cliente dispone, nella Piattaforma, dei mezzi per consultare, correggere ed eliminare i Dati del Cliente; PolyMatch interviene su richiesta scritta per quanto la Piattaforma non consente, entro dieci giorni lavorativi.

6.2 Se un interessato contatta direttamente PolyMatch in merito a Dati del Cliente, PolyMatch inoltra la richiesta al Cliente senza rispondere nel merito, salvo obbligo di legge.

6.3 PolyMatch assiste il Cliente, nei limiti delle informazioni di cui dispone, nell'adempimento dei suoi obblighi in materia di sicurezza, notifica delle violazioni e valutazione d'impatto (articoli da 32 a 36 del GDPR).

7. Violazioni dei dati

PolyMatch notifica al Cliente qualsiasi violazione dei dati personali che riguardi Dati del Cliente senza ingiustificato ritardo e al più tardi entro quarantotto ore dal momento in cui ne è venuta a conoscenza, via e-mail agli Amministratori del Cliente. La notifica descrive la natura della violazione, le categorie e il numero approssimativo di interessati e di registrazioni coinvolti, le probabili conseguenze, le misure adottate o proposte e il punto di contatto; le informazioni non ancora disponibili sono fornite non appena lo diventano.

8. Trasferimenti al di fuori dell'Unione europea

I Dati del Cliente sono ospitati nell'Unione europea. Qualsiasi trasferimento verso un paese terzo da parte di un sub-responsabile si basa su una decisione di adeguatezza o sulle clausole contrattuali tipo della Commissione europea, con adeguate misure supplementari; l'Allegato B indica la garanzia applicabile a ciascun sub-responsabile.

9. Audit

9.1 PolyMatch mette a disposizione del Cliente le informazioni necessarie per dimostrare il rispetto del presente accordo: descrizione delle misure di sicurezza, elenco dei sub-responsabili, risposte a un questionario scritto una volta all'anno.

9.2 Un audit in loco, o un audit da parte di un terzo indipendente, è possibile una volta all'anno, oppure dopo una violazione dei dati o su richiesta di un'autorità, con un preavviso scritto di trenta giorni, durante l'orario lavorativo, senza perturbare l'attività né dare accesso ai dati di altri clienti, a spese del Cliente. Le risultanze sono riservate.

10. Fine del trattamento

10.1 Alla cessazione del contratto, PolyMatch cancella i Dati del Cliente entro trenta giorni, salvo che si applichi un obbligo legale di conservazione, nel qual caso i dati sono conservati in modo isolato fino all'estinzione di tale obbligo. Il Cliente esporta autonomamente i propri dati prima della cessazione del contratto tramite le funzioni della Piattaforma.

10.2 I Dati del Cliente già trasmessi, su istruzione del Cliente, a un'altra Azienda tramite uno Sblocco, un'Offerta o una condivisione di documenti restano presso tale Azienda, che ne è titolare del trattamento. Il mantenimento dei Grade sulla Piattaforma dopo la cessazione del contratto (articolo 12.5 delle Condizioni) riguarda dati tecnici e aziendali, che non sono Dati del Cliente.

11. Responsabilità e durata

11.1 La responsabilità di ciascuna parte ai sensi del presente accordo è soggetta alle limitazioni dell'articolo 13 delle Condizioni d'Uso, salvo diversa disposizione inderogabile del GDPR.

11.2 Il presente accordo si applica per l'intera durata del contratto e fino alla cancellazione dei Dati del Cliente. Esso è disciplinato dalla legge polacca; in caso di conflitto con le Condizioni su una materia relativa ai dati personali, prevale il presente accordo.

Allegato A — Misure tecniche e organizzative

• Hosting dei dati e dei file nell'Unione europea (Irlanda), presso un fornitore certificato ISO 27001 e SOC 2.
• Cifratura delle comunicazioni (TLS 1.2 o superiore) e dei dati inattivi.
• Segregazione dei dati per Azienda e per ruolo, applicata a livello della banca dati (controllo degli accessi a livello di riga); nessun accesso diretto dal browser alle tabelle sensibili; funzioni sensibili eseguibili soltanto dal server.
• Autenticazione tramite password sottoposta a hash, protezione contro le password compromesse, scadenza della sessione dopo 7 giorni di inattività, controllo anti-bot alla registrazione, all'accesso e al ripristino della password, limitazione delle richieste.
• Accesso ai file tramite link firmati a durata limitata; registro dei documenti condivisi tra Aziende.
• Segreti tecnici custoditi in un archivio dedicato, mai nel codice; accessi di amministratore nominativi e registrati.
• Backup cifrati, copia dei file presso un secondo fornitore; procedura di ripristino.
• Registrazione delle azioni e degli errori; allerta in caso di mancato invio di una comunicazione contrattuale.
• Sviluppo con test automatizzati, revisione e salvaguardie di sicurezza prima di ogni rilascio; audit di sicurezza prima del lancio e dopo ogni modifica importante.
• Sub-responsabili vincolati da un accordo sul trattamento dei dati; verifica delle loro certificazioni e garanzie di trasferimento.
• Procedura di gestione delle violazioni: rilevamento, contenimento, analisi, notifica (articolo 7), misure correttive.

Allegato B — Sub-responsabili del trattamento

Elenco accessibile ai Clienti in La mia azienda (Documenti contrattuali). Qualsiasi modifica segue la procedura dell'articolo 5.