データ処理契約（DPA）— 利用規約の附属書1

バージョン1.0 — 2026年11月3日。本契約（umowa powierzenia przetwarzania danych osobowych、GDPR第28条）は、PolyMatchアカウントを保有する企業（以下「顧客」という）と、[氏名]、[登記上の住所]、ポーランド、NIP [NIP]（以下「PolyMatch」という）との間で締結される。本契約は、顧客を拘束する権限を有する者により利用規約とともに同意され、顧客名義の日付入りの写しを「マイカンパニー」からダウンロードすることができる。

1. 対象および範囲

1.1 本契約は、顧客が本プラットフォーム上にアップロードまたは入力するコンテンツに含まれる第三者の個人データ（以下「顧客データ」という）、すなわち顧客の外注先、得意先もしくはパートナーの連絡先、ならびに顧客の書類、メッセージ、プロジェクトもしくはオファーにおいて名前が挙げられた者のデータについて、PolyMatchが顧客のために行う処理を規律する。

1.2 次のものは顧客データではなく、PolyMatchが独立したデータ管理者としてプライバシーポリシーに従い処理する：顧客のユーザーのアカウント、企業の識別データおよび掲載データ、グレードの技術データ、技術的側面におけるプロジェクト、リード、マッチおよび順位付け、請求、セキュリティログおよび活動ログ、同意。顧客およびPolyMatchは、アンロック後に企業間で交換されるデータについて、それぞれ独立したデータ管理者である。

1.3 処理の内容：性質 — ホスティング、保存、顧客およびそのユーザーへの表示、顧客が本プラットフォームを通じて接触する企業への送信、メッセージの自動翻訳、バックアップ。目的 — 規約に定めるサービスの提供。期間 — 契約期間。データ主体の区分 — 顧客の外注先、得意先およびパートナーの業務上の連絡担当者、顧客のユーザーが言及した者。データの区分 — 職業上の身元、職務、業務用連絡先、メッセージおよび書類の内容。特別な種類のデータ（GDPR第9条）は想定されておらず、顧客はこれをアップロードしないことを約束する。

2. 顧客の指示

2.1 PolyMatchは、顧客の文書化された指示に基づいてのみ顧客データを処理する。指示とは、利用規約、本契約、ならびに顧客およびそのユーザーが本プラットフォームにおいて行う操作（アップロード、共有、送信、削除）をいう。

2.2 PolyMatchは、ある指示がGDPRその他のデータ保護規定に違反すると考える場合、遅滞なく顧客に通知する。PolyMatchは、EU法または加盟国法が要求する場合には、指示なく顧客データを処理することができる。この場合、法律により禁止されていない限り、PolyMatchは顧客にその旨を通知する。

3. 顧客の義務

顧客は、顧客データについて法的根拠を有すること、データ主体に情報を提供したこと、その指示が適法であること、および顧客データを必要な範囲に限定することを保証する。顧客のみが、顧客データに関するデータ主体および当局からの請求に応じるものとし、PolyMatchは第6条に基づきこれを支援する。

4. PolyMatchの義務

4.1 秘密保持：顧客データを処理する権限を与えられた者は、契約または法律により秘密保持義務を負う。アクセスは、運用およびサポートに必要な範囲に限定される。

4.2 セキュリティ：PolyMatchは、附属書Aの技術的および組織的措置を実施し、その全体的な水準を下げることなく、リスクの変化に応じてこれを適合させる。

4.3 記録および協力：PolyMatchは、顧客のために行う処理活動の種類の記録を保持し、要請に応じて監督機関に協力する。

5. 再処理者

5.1 顧客は、附属書Bに記載された再処理者の利用について一般的承認を与える。附属書Bは、プライバシーポリシーで公開されているリストを転載したものである。

5.2 PolyMatchは、再処理者の追加または交替について、その効力発生の少なくとも三十日前に電子メールで顧客に通知する。顧客は、当該期間内に、データ保護上の正当な理由に基づき書面で異議を申し立てることができる。合意に至らない場合、顧客は、変更の効力発生前に、違約金なく契約を解約することができる。

5.3 PolyMatchは、各再処理者に対し、契約により、自らの義務と同等のデータ保護義務を課し、その履行について顧客に対して引き続き責任を負う。

6. 支援およびデータ主体の権利

6.1 PolyMatchは、処理の性質を考慮して、データ主体がその権利（アクセス、訂正、消去、制限、ポータビリティ、異議）を行使する請求に顧客が対応することを支援する。顧客は、本プラットフォーム内に、顧客データを閲覧、修正および削除する手段を有する。本プラットフォームで行えない事項については、PolyMatchは、書面による請求に基づき、十営業日以内に対応する。

6.2 データ主体が顧客データについてPolyMatchに直接連絡した場合、PolyMatchは、法律上要求される場合を除き、実質的な回答をすることなく、当該請求を顧客に転送する。

6.3 PolyMatchは、自らが入手可能な情報の範囲内で、セキュリティ、侵害の通知および影響評価に関する顧客の義務（GDPR第32条から第36条まで）の遵守について、顧客を支援する。

7. データ侵害

PolyMatchは、顧客データに影響する個人データ侵害について、不当な遅滞なく、遅くともこれを認識してから四十八時間以内に、顧客の管理者宛ての電子メールにより顧客に通知する。通知には、侵害の性質、関係するデータ主体および記録の区分ならびにおおよその数、予想される結果、講じたまたは提案する措置、および連絡窓口を記載する。未だ入手できない情報は、入手次第提供する。

8. 欧州連合域外への移転

顧客データは欧州連合内でホスティングされる。再処理者による第三国へのいかなる移転も、十分性認定または欧州委員会の標準契約条項に基づき、適切な補完的措置を伴って行われる。附属書Bは、各再処理者に適用される保護措置を示す。

9. 監査

9.1 PolyMatchは、本契約の遵守を証明するために必要な情報を顧客に提供する：セキュリティ措置の説明、再処理者のリスト、年に一度の書面による質問票への回答。

9.2 実地監査または独立した第三者による監査は、年に一度、またはデータ侵害の後もしくは当局の要請がある場合に、三十日前の書面による通知により、営業時間中に、業務を妨げることなく、かつ他の顧客のデータへのアクセスを与えることなく、顧客の費用負担で実施することができる。監査結果は秘密とする。

10. 処理の終了

10.1 契約の終了時、PolyMatchは、三十日以内に顧客データを削除する。ただし、法的な保存義務が適用される場合はこの限りでなく、その場合、データは当該義務が終了するまで隔離して保存される。顧客は、契約の終了前に、本プラットフォームの機能を通じて自らデータをエクスポートする。

10.2 顧客の指示により、アンロック、オファーまたは書類の共有を通じて他の企業に既に送信された顧客データは、当該企業のもとに残り、当該企業がそのデータ管理者となる。契約終了後のグレードの継続的な掲載（規約第12.5条）は、技術データおよび企業データに関するものであり、これらは顧客データではない。

11. 責任および期間

11.1 本契約に基づく各当事者の責任は、GDPRの強行規定が別段の定めをする場合を除き、利用規約第13条の制限に従う。

11.2 本契約は、契約の全期間にわたり、かつ顧客データが削除されるまで適用される。本契約はポーランド法に準拠する。個人データに関する事項について規約と矛盾する場合は、本契約が優先する。

附属書A — 技術的および組織的措置

• ISO 27001およびSOC 2の認証を受けた事業者による、欧州連合（アイルランド）におけるデータおよびファイルのホスティング。
• 通信（TLS 1.2以上）および保存データの暗号化。
• データベースのレベルで実施される、企業ごとおよび役割ごとのデータの分離（行レベルのアクセス制御）。ブラウザから機密性の高いテーブルへの直接アクセスは不可。機密性の高い機能はサーバーのみが実行可能。
• ハッシュ化されたパスワードによる認証、漏えいしたパスワードに対する保護、7日間操作がない場合のセッションの失効、登録時・ログイン時・パスワード再設定時のボット対策チェック、レート制限。
• 有効期限付きの署名付きリンクによるファイルへのアクセス。企業間で共有された書類の登録簿。
• 専用の保管庫で管理され、コードには決して含まれない技術的な秘密情報。記名され、記録される管理者アクセス。
• 暗号化されたバックアップ、第二の事業者へのファイルのコピー、復元手順。
• 操作およびエラーの記録。契約上の連絡の送信に失敗した場合のアラート。
• 各リリース前の自動テスト、レビューおよびセキュリティガードを伴う開発。ローンチ前および重要な変更ごとのセキュリティ監査。
• データ処理契約に拘束される再処理者。その認証および移転の保護措置の確認。
• 侵害管理手順：検知、封じ込め、分析、通知（第7条）、是正措置。

附属書B — 再処理者

顧客が「マイカンパニー」（契約書類）で閲覧できるリスト。いかなる変更も第5条の手続に従う。