Duomenų tvarkymo sutartis (DPA) — Naudojimo sąlygų 1 priedas

1.0 versija — 2026 m. lapkričio 3 d. Ši sutartis (umowa powierzenia przetwarzania danych osobowych, BDAR 28 straipsnis) sudaroma tarp Įmonės, turinčios PolyMatch paskyrą („Klientas“), ir [Vardas PAVARDĖ], [buveinės adresas], Lenkija, NIP [NIP] („PolyMatch“). Ją kartu su Naudojimo sąlygomis priima asmuo, įgaliotas prisiimti Klientui įsipareigojimus; datuotą kopiją Kliento vardu galima atsisiųsti skiltyje „Mano įmonė“.

1. Dalykas ir taikymo sritis

1.1 Ši sutartis reglamentuoja, kaip PolyMatch Kliento vardu tvarko trečiųjų asmenų asmens duomenis, esančius turinyje, kurį Klientas įkelia ar įveda Platformoje („Kliento duomenys“): jo subrangovų, klientų ar partnerių kontaktinius duomenis, jo dokumentuose, žinutėse, projektuose ar pasiūlymuose nurodytus asmenis.

1.2 Toliau nurodyti duomenys nėra Kliento duomenys ir juos PolyMatch tvarko kaip savarankiška duomenų valdytoja pagal Privatumo politiką: Kliento Naudotojų paskyros, Įmonės identifikavimo ir įtraukimo į sąrašą duomenys, Markių techniniai duomenys, Projektai jų techniniu aspektu, Užklausos, Atitiktys ir reitingai, atsiskaitymai, saugumo ir veiklos žurnalai, sutikimai. Klientas ir PolyMatch yra kiekvienas savarankiški Įmonių tarpusavyje po Atrakinimo keičiamų duomenų valdytojai.

1.3 Tvarkymo aprašymas: pobūdis – talpinimas, saugojimas, rodymas Klientui ir jo Naudotojams, perdavimas Įmonėms, su kuriomis Klientas per Platformą užmezga kontaktą, automatinis žinučių vertimas, atsarginių kopijų darymas; tikslas – Sąlygose aprašytų paslaugų teikimas; trukmė – sutarties galiojimo laikotarpis; duomenų subjektų kategorijos – Kliento subrangovų, klientų ir partnerių darbo kontaktiniai asmenys, jo Naudotojų paminėti asmenys; duomenų kategorijos – profesinė tapatybė, pareigos, darbo kontaktiniai duomenys, žinučių ir dokumentų turinys; specialių kategorijų duomenų (BDAR 9 straipsnis) nenumatoma, o Klientas įsipareigoja tokių neįkelti.

2. Kliento nurodymai

2.1 PolyMatch tvarko Kliento duomenis tik pagal dokumentais įformintus Kliento nurodymus. Nurodymai yra šie: Naudojimo sąlygos, ši sutartis ir veiksmai, kuriuos Klientas ir jo Naudotojai atlieka Platformoje (įkėlimas, dalijimasis, siuntimas, ištrynimas).

2.2 Jei PolyMatch mano, kad nurodymas pažeidžia BDAR ar kitas duomenų apsaugos nuostatas, ji nedelsdama apie tai informuoja Klientą. PolyMatch gali tvarkyti Kliento duomenis be nurodymo, jei to reikalauja Sąjungos ar valstybės narės teisė; tokiu atveju ji informuoja Klientą, nebent tai draudžia įstatymai.

3. Kliento pareigos

Klientas garantuoja, kad turi teisinį Kliento duomenų tvarkymo pagrindą, kad informavo duomenų subjektus, kad jo nurodymai yra teisėti ir kad Kliento duomenų pateikia tik tiek, kiek būtina. Tik jis atsako į duomenų subjektų ir valdžios institucijų prašymus dėl Kliento duomenų, PolyMatch padedant pagal 6 straipsnį.

4. PolyMatch pareigos

4.1 Konfidencialumas: asmenys, įgalioti tvarkyti Kliento duomenis, yra įsipareigoję užtikrinti konfidencialumą pagal sutartį arba įstatymą; prieiga ribojama tuo, kas būtina veiklai ir pagalbai užtikrinti.

4.2 Saugumas: PolyMatch įgyvendina A priede nurodytas technines ir organizacines priemones ir jas pritaiko prie kintančios rizikos, nemažindama bendro jų lygio.

4.3 Įrašai ir bendradarbiavimas: PolyMatch tvarko Klientui atliekamų duomenų tvarkymo veiklos kategorijų įrašus ir paprašyta bendradarbiauja su priežiūros institucija.

5. Pagalbiniai duomenų tvarkytojai

5.1 Klientas suteikia bendrą leidimą pasitelkti B priede išvardytus pagalbinius duomenų tvarkytojus; šiame priede atkartojamas Privatumo politikoje paskelbtas sąrašas.

5.2 PolyMatch el. paštu informuoja Klientą apie kiekvieną naujo pagalbinio tvarkytojo pasitelkimą ar pakeitimą ne vėliau kaip prieš trisdešimt dienų iki jo įsigaliojimo. Per šį laikotarpį Klientas gali raštu pareikšti prieštaravimą, remdamasis pagrįstais duomenų apsaugos motyvais; nepavykus susitarti, Klientas gali be netesybų nutraukti sutartį iki pakeitimo įsigaliojimo.

5.3 PolyMatch kiekvienam pagalbiniam duomenų tvarkytojui sutartimi nustato duomenų apsaugos pareigas, lygiavertes jos pačios pareigoms, ir lieka atsakinga Klientui už jų vykdymą.

6. Pagalba ir duomenų subjektų teisės

6.1 Atsižvelgdama į tvarkymo pobūdį, PolyMatch padeda Klientui atsakyti į duomenų subjektų prašymus, kuriais jie įgyvendina savo teises (susipažinimo, ištaisymo, ištrynimo, apribojimo, perkeliamumo, prieštaravimo). Klientas Platformoje turi priemones Kliento duomenims peržiūrėti, taisyti ir ištrinti; to, ko Platforma neleidžia, PolyMatch imasi gavusi rašytinį prašymą, per dešimt darbo dienų.

6.2 Jei duomenų subjektas tiesiogiai kreipiasi į PolyMatch dėl Kliento duomenų, PolyMatch persiunčia prašymą Klientui ir neatsako į jį iš esmės, nebent to reikalauja įstatymai.

6.3 PolyMatch, kiek leidžia jai prieinama informacija, padeda Klientui vykdyti jo pareigas, susijusias su saugumu, pranešimu apie pažeidimus ir poveikio vertinimu (BDAR 32–36 straipsniai).

7. Duomenų saugumo pažeidimai

PolyMatch praneša Klientui apie bet kokį asmens duomenų saugumo pažeidimą, susijusį su Kliento duomenimis, nepagrįstai nedelsdama ir ne vėliau kaip per keturiasdešimt aštuonias valandas nuo tada, kai apie jį sužinojo, el. paštu Kliento Administratoriams. Pranešime aprašomas pažeidimo pobūdis, atitinkamų duomenų subjektų ir įrašų kategorijos bei apytikslis skaičius, tikėtinos pasekmės, taikytos ar siūlomos priemonės ir kontaktinis asmuo; dar neturima informacija pateikiama, kai tik ji tampa prieinama.

8. Duomenų perdavimas už Europos Sąjungos ribų

Kliento duomenys talpinami Europos Sąjungoje. Bet koks pagalbinio duomenų tvarkytojo atliekamas duomenų perdavimas į trečiąją šalį grindžiamas sprendimu dėl tinkamumo arba Europos Komisijos standartinėmis sutarčių sąlygomis su tinkamomis papildomomis priemonėmis; B priede nurodyta kiekvienam pagalbiniam duomenų tvarkytojui taikoma apsaugos priemonė.

9. Auditas

9.1 PolyMatch pateikia Klientui informaciją, būtiną šios sutarties laikymuisi įrodyti: saugumo priemonių aprašymą, pagalbinių duomenų tvarkytojų sąrašą, atsakymus į rašytinį klausimyną kartą per metus.

9.2 Auditas vietoje arba nepriklausomos trečiosios šalies atliekamas auditas galimas kartą per metus arba po duomenų saugumo pažeidimo ar valdžios institucijos prašymu, prieš trisdešimt dienų raštu apie tai pranešus, darbo valandomis, netrikdant veiklos ir nesuteikiant prieigos prie kitų klientų duomenų, Kliento sąskaita. Audito išvados yra konfidencialios.

10. Tvarkymo pabaiga

10.1 Pasibaigus sutarčiai, PolyMatch per trisdešimt dienų ištrina Kliento duomenis, nebent taikoma teisinė saugojimo prievolė; tokiu atveju duomenys saugomi atskirai, kol ta prievolė baigiasi. Klientas pats eksportuoja savo duomenis iki sutarties pabaigos, naudodamasis Platformos funkcijomis.

10.2 Kliento duomenys, Kliento nurodymu jau perduoti kitai Įmonei per Atrakinimą, Pasiūlymą ar dalijimąsi dokumentais, lieka toje Įmonėje, kuri yra jų valdytoja. Markių įtraukimas į sąrašą pasibaigus sutarčiai (Sąlygų 12.5 straipsnis) susijęs su techniniais ir įmonės duomenimis, kurie nėra Kliento duomenys.

11. Atsakomybė ir galiojimo terminas

11.1 Kiekvienos šalies atsakomybei pagal šią sutartį taikomi Naudojimo sąlygų 13 straipsnyje nustatyti apribojimai, išskyrus atvejus, kai imperatyviosios BDAR nuostatos numato kitaip.

11.2 Ši sutartis taikoma visą sutarties galiojimo laikotarpį ir iki Kliento duomenų ištrynimo. Jai taikoma Lenkijos teisė; prieštaravimo su Sąlygomis atveju klausimais, susijusiais su asmens duomenimis, pirmenybė teikiama šiai sutarčiai.

A priedas — Techninės ir organizacinės priemonės

• Duomenų ir failų talpinimas Europos Sąjungoje (Airijoje) pas paslaugų teikėją, turintį ISO 27001 ir SOC 2 sertifikatus.
• Ryšių (TLS 1.2 ar naujesnės versijos) ir saugomų duomenų šifravimas.
• Duomenų atskyrimas pagal Įmonę ir vaidmenį, užtikrinamas duomenų bazės lygmeniu (prieigos kontrolė eilučių lygmeniu); jokios tiesioginės prieigos iš naršyklės prie jautrių lentelių; jautrias funkcijas gali vykdyti tik serveris.
• Autentifikavimas maišos forma saugomu slaptažodžiu, apsauga nuo nutekėjusių slaptažodžių, sesijos pabaiga po 7 dienų neaktyvumo, apsaugos nuo robotų patikra registruojantis, prisijungiant ir atkuriant slaptažodį, užklausų dažnio ribojimas.
• Prieiga prie failų per ribotą laiką galiojančias pasirašytas nuorodas; Įmonių tarpusavyje bendrai naudojamų dokumentų registras.
• Techninės paslaptys laikomos specialioje saugykloje, niekada ne programiniame kode; vardinė ir registruojama administratorių prieiga.
• Šifruotos atsarginės kopijos, failų kopija pas antrą paslaugų teikėją; atkūrimo procedūra.
• Veiksmų ir klaidų registravimas; įspėjimas, kai nepavyksta išsiųsti sutartinio pranešimo.
• Programinės įrangos kūrimas taikant automatizuotus testus, peržiūrą ir saugumo kontrolės priemones prieš kiekvieną naujos versijos išleidimą; saugumo auditas prieš paleidimą ir po kiekvieno esminio pakeitimo.
• Pagalbiniai duomenų tvarkytojai, saistomi duomenų tvarkymo sutarties; jų sertifikatų ir duomenų perdavimo apsaugos priemonių tikrinimas.
• Pažeidimų valdymo procedūra: aptikimas, suvaldymas, analizė, pranešimas (7 straipsnis), taisomosios priemonės.

B priedas — Pagalbiniai duomenų tvarkytojai

Sąrašas prieinamas Klientams skiltyje „Mano įmonė“ (Sutarties dokumentai). Bet kokiam pakeitimui taikoma 5 straipsnyje nustatyta procedūra.