Datu apstrādes līgums (DPA) — Lietošanas noteikumu 1. pielikums

Versija 1.0 — 2026. gada 3. novembris. Šis līgums (umowa powierzenia przetwarzania danych osobowych, VDAR 28. pants) tiek noslēgts starp Uzņēmumu, kuram ir PolyMatch konts (“Klients”), un [Vārds UZVĀRDS], [juridiskā adrese], Polija, NIP [NIP] (“PolyMatch”). To kopā ar Lietošanas noteikumiem pieņem persona, kas pilnvarota uzņemties saistības Klienta vārdā; datētu kopiju uz Klienta vārda var lejupielādēt sadaļā “Mans uzņēmums”.

1. Priekšmets un darbības joma

1.1 Šis līgums reglamentē to, kā PolyMatch Klienta vārdā apstrādā trešo personu personas datus, kas ietverti saturā, ko Klients augšupielādē vai ievada Platformā (“Klienta dati”): tā apakšuzņēmēju, klientu vai partneru kontaktinformāciju, personas, kas minētas tā dokumentos, ziņojumos, projektos vai piedāvājumos.

1.2 Turpmāk minētie dati nav Klienta dati, un PolyMatch tos apstrādā kā neatkarīgs pārzinis saskaņā ar Privātuma politiku: Klienta Lietotāju konti, Uzņēmuma identifikācijas un sarakstā iekļaušanas dati, Marku tehniskie dati, Projekti to tehniskajā aspektā, Pieprasījumi, Atbilstības un sarindojumi, norēķini, drošības un darbību žurnāli, piekrišanas. Klients un PolyMatch katrs ir neatkarīgs pārzinis attiecībā uz datiem, ar kuriem Uzņēmumi apmainās pēc Atbloķēšanas.

1.3 Apstrādes apraksts: būtība — mitināšana, glabāšana, attēlošana Klientam un tā Lietotājiem, nodošana Uzņēmumiem, ar kuriem Klients ar Platformas starpniecību nodibina kontaktu, ziņojumu automātiska tulkošana, rezerves kopēšana; nolūks — Noteikumos aprakstīto pakalpojumu sniegšana; ilgums — līguma darbības laiks; datu subjektu kategorijas — Klienta apakšuzņēmēju, klientu un partneru darba kontaktpersonas, tā Lietotāju pieminētās personas; datu kategorijas — profesionālā identitāte, amats, darba kontaktinformācija, ziņojumu un dokumentu saturs; īpašu kategoriju dati (VDAR 9. pants) nav paredzēti, un Klients apņemas tādus neaugšupielādēt.

2. Klienta norādījumi

2.1 PolyMatch apstrādā Klienta datus tikai saskaņā ar Klienta dokumentētiem norādījumiem. Norādījumi ir šādi: Lietošanas noteikumi, šis līgums un darbības, ko Klients un tā Lietotāji veic Platformā (augšupielāde, kopīgošana, nosūtīšana, dzēšana).

2.2 Ja PolyMatch uzskata, ka kāds norādījums pārkāpj VDAR vai citus datu aizsardzības noteikumus, tas nekavējoties informē Klientu. PolyMatch var apstrādāt Klienta datus bez norādījuma, ja to prasa Savienības vai dalībvalsts tiesību akti; tādā gadījumā tas informē Klientu, ja vien tiesību akti to neaizliedz.

3. Klienta pienākumi

Klients garantē, ka tam ir juridisks pamats Klienta datu apstrādei, ka tas ir informējis datu subjektus, ka tā norādījumi ir likumīgi un ka tas ierobežo Klienta datus līdz nepieciešamajam. Tikai tas atbild uz datu subjektu un iestāžu pieprasījumiem par Klienta datiem, PolyMatch sniedzot palīdzību saskaņā ar 6. pantu.

4. PolyMatch pienākumi

4.1 Konfidencialitāte: personām, kas pilnvarotas apstrādāt Klienta datus, ir līgumā vai tiesību aktos noteikts konfidencialitātes pienākums; piekļuve ir ierobežota ar to, kas nepieciešams darbības un atbalsta nodrošināšanai.

4.2 Drošība: PolyMatch īsteno A pielikumā noteiktos tehniskos un organizatoriskos pasākumus un pielāgo tos risku attīstībai, nesamazinot to kopējo līmeni.

4.3 Uzskaite un sadarbība: PolyMatch uztur Klienta labā veikto apstrādes darbību kategoriju uzskaiti un pēc pieprasījuma sadarbojas ar uzraudzības iestādi.

5. Apakšapstrādātāji

5.1 Klients dod vispārēju atļauju piesaistīt B pielikumā uzskaitītos apakšapstrādātājus; šajā pielikumā ir atspoguļots Privātuma politikā publicētais saraksts.

5.2 PolyMatch pa e-pastu informē Klientu par jebkuru apakšapstrādātāja pievienošanu vai aizstāšanu vismaz trīsdesmit dienas pirms tās stāšanās spēkā. Šajā termiņā Klients var rakstiski iebilst, pamatojoties uz leģitīmiem datu aizsardzības apsvērumiem; ja vienošanās netiek panākta, Klients var bez līgumsoda izbeigt līgumu pirms izmaiņu stāšanās spēkā.

5.3 PolyMatch ar līgumu uzliek katram apakšapstrādātājam datu aizsardzības pienākumus, kas līdzvērtīgi tā paša pienākumiem, un paliek atbildīgs pret Klientu par to izpildi.

6. Palīdzība un datu subjektu tiesības

6.1 Ņemot vērā apstrādes būtību, PolyMatch palīdz Klientam atbildēt uz to datu subjektu pieprasījumiem, kuri īsteno savas tiesības (piekļuve, labošana, dzēšana, ierobežošana, pārnesamība, iebildumi). Klientam Platformā ir pieejami līdzekļi Klienta datu apskatei, labošanai un dzēšanai; attiecībā uz to, ko Platforma neļauj, PolyMatch rīkojas pēc rakstiska pieprasījuma desmit darba dienu laikā.

6.2 Ja datu subjekts tieši vēršas pie PolyMatch par Klienta datiem, PolyMatch pārsūta pieprasījumu Klientam, neatbildot uz to pēc būtības, ja vien to neprasa tiesību akti.

6.3 PolyMatch, ciktāl tam ir pieejama informācija, palīdz Klientam izpildīt tā pienākumus attiecībā uz drošību, paziņošanu par pārkāpumiem un ietekmes novērtējumu (VDAR 32.–36. pants).

7. Datu aizsardzības pārkāpumi

PolyMatch bez nepamatotas kavēšanās un ne vēlāk kā četrdesmit astoņas stundas pēc tam, kad tam kļuvis par to zināms, paziņo Klientam par jebkuru personas datu aizsardzības pārkāpumu, kas skar Klienta datus, nosūtot e-pasta vēstuli Klienta Administratoriem. Paziņojumā apraksta pārkāpuma būtību, attiecīgo datu subjektu un ierakstu kategorijas un aptuveno skaitu, iespējamās sekas, veiktos vai ierosinātos pasākumus un kontaktpunktu; informāciju, kas vēl nav pieejama, sniedz, tiklīdz tā kļūst pieejama.

8. Datu nosūtīšana ārpus Eiropas Savienības

Klienta dati tiek mitināti Eiropas Savienībā. Jebkura apakšapstrādātāja veikta nosūtīšana uz trešo valsti balstās uz lēmumu par aizsardzības līmeņa pietiekamību vai uz Eiropas Komisijas standarta līguma klauzulām ar atbilstošiem papildu pasākumiem; B pielikumā ir norādīts katram apakšapstrādātājam piemērojamais aizsardzības pasākums.

9. Revīzija

9.1 PolyMatch dara Klientam pieejamu informāciju, kas nepieciešama, lai pierādītu atbilstību šim līgumam: drošības pasākumu aprakstu, apakšapstrādātāju sarakstu, atbildes uz rakstisku anketu reizi gadā.

9.2 Revīzija uz vietas vai neatkarīgas trešās personas veikta revīzija ir iespējama reizi gadā vai pēc datu aizsardzības pārkāpuma vai pēc iestādes pieprasījuma, rakstiski paziņojot par to trīsdesmit dienas iepriekš, darba laikā, netraucējot darbību un nepiešķirot piekļuvi citu klientu datiem, uz Klienta rēķina. Revīzijas konstatējumi ir konfidenciāli.

10. Apstrādes beigas

10.1 Pēc līguma izbeigšanās PolyMatch trīsdesmit dienu laikā dzēš Klienta datus, ja vien nav piemērojams tiesību aktos noteikts glabāšanas pienākums; tādā gadījumā dati tiek glabāti nodalīti līdz šā pienākuma beigām. Klients pats eksportē savus datus pirms līguma izbeigšanās, izmantojot Platformas funkcijas.

10.2 Klienta dati, kas pēc Klienta norādījuma jau nodoti citam Uzņēmumam ar Atbloķēšanas, Piedāvājuma vai dokumentu kopīgošanas starpniecību, paliek šim Uzņēmumam, kas ir to pārzinis. Marku turpmāka iekļaušana sarakstā pēc līguma izbeigšanās (Noteikumu 12.5. punkts) attiecas uz tehniskajiem un uzņēmuma datiem, kas nav Klienta dati.

11. Atbildība un darbības termiņš

11.1 Katras puses atbildībai saskaņā ar šo līgumu piemēro Lietošanas noteikumu 13. pantā noteiktos ierobežojumus, izņemot gadījumus, kad VDAR obligātie noteikumi paredz citādi.

11.2 Šis līgums ir piemērojams visu līguma darbības laiku un līdz Klienta datu dzēšanai. Tam piemēro Polijas tiesību aktus; pretrunu gadījumā ar Noteikumiem jautājumā, kas attiecas uz personas datiem, noteicošais ir šis līgums.

A pielikums — Tehniskie un organizatoriskie pasākumi

• Datu un failu mitināšana Eiropas Savienībā (Īrijā) pie pakalpojumu sniedzēja, kas sertificēts atbilstoši ISO 27001 un SOC 2.
• Saziņas (TLS 1.2 vai jaunākas versijas) un glabāto datu šifrēšana.
• Datu nodalīšana pēc Uzņēmuma un lomas, ko nodrošina datubāzes līmenī (piekļuves kontrole rindu līmenī); nav tiešas piekļuves no pārlūkprogrammas sensitīvām tabulām; sensitīvas funkcijas var izpildīt tikai serveris.
• Autentifikācija ar jaucējvērtības veidā glabātu paroli, aizsardzība pret kompromitētām parolēm, sesijas beigas pēc 7 dienu neaktivitātes, pretrobotu pārbaude reģistrējoties, piesakoties un atiestatot paroli, pieprasījumu biežuma ierobežošana.
• Piekļuve failiem ar laikā ierobežotām parakstītām saitēm; Uzņēmumu starpā kopīgoto dokumentu reģistrs.
• Tehniskie noslēpumi tiek glabāti speciālā glabātuvē, nekad kodā; personalizēta un reģistrēta administratoru piekļuve.
• Šifrētas rezerves kopijas, failu kopija pie otra pakalpojumu sniedzēja; atjaunošanas procedūra.
• Darbību un kļūdu reģistrēšana; brīdinājums, ja līgumisku paziņojumu neizdodas nosūtīt.
• Izstrāde ar automatizētiem testiem, pārskatīšanu un drošības kontrolēm pirms katras jaunās versijas izlaišanas; drošības revīzija pirms palaišanas un pēc katras būtiskas izmaiņas.
• Apakšapstrādātāji, kurus saista datu apstrādes līgums; to sertifikātu un datu nosūtīšanas aizsardzības pasākumu pārbaude.
• Pārkāpumu pārvaldības procedūra: atklāšana, ierobežošana, analīze, paziņošana (7. pants), koriģējošie pasākumi.

B pielikums — Apakšapstrādātāji

Saraksts ir pieejams Klientiem sadaļā “Mans uzņēmums” (Līguma dokumenti). Jebkurām izmaiņām piemēro 5. pantā noteikto procedūru.