Perjanjian Pemprosesan Data (DPA) — Lampiran 1 kepada Terma Penggunaan

Versi 1.0 — 3 November 2026. Perjanjian ini (umowa powierzenia przetwarzania danych osobowych, Perkara 28 GDPR) dimeterai antara Syarikat yang memegang akaun PolyMatch ("Pelanggan") dengan [Nama pertama NAMA KELUARGA], [alamat berdaftar], Poland, NIP [NIP] ("PolyMatch"). Perjanjian ini diterima bersama Terma Penggunaan oleh orang yang diberi kuasa untuk mengikat Pelanggan; salinan bertarikh atas nama Pelanggan boleh dimuat turun daripada Syarikat saya.

1. Perkara pokok dan skop

1.1 Perjanjian ini mengawal selia pemprosesan oleh PolyMatch, bagi pihak Pelanggan, data peribadi pihak ketiga yang terkandung dalam kandungan yang dimuat naik atau dimasukkan oleh Pelanggan di Platform ("Data Pelanggan"): butiran hubungan subkontraktor, pelanggan atau rakan kongsinya, orang yang dinamakan dalam dokumen, mesej, projek atau tawarannya.

1.2 Yang berikut bukan Data Pelanggan dan diproses oleh PolyMatch sebagai pengawal bebas, selaras dengan Dasar Privasi: akaun Pengguna Pelanggan, data pengenalan dan penyenaraian Syarikat, data teknikal Gred, Projek dalam dimensi teknikalnya, Lead, Padanan dan kedudukan, pengebilan, log keselamatan dan aktiviti, persetujuan. Pelanggan dan PolyMatch masing-masing ialah pengawal bebas bagi data yang ditukar antara Syarikat selepas Buka Kunci.

1.3 Penerangan pemprosesan: sifat — pengehosan, penyimpanan, paparan kepada Pelanggan dan Penggunanya, penghantaran kepada Syarikat yang dihubungi oleh Pelanggan melalui Platform, terjemahan automatik mesej, sandaran; tujuan — menyediakan perkhidmatan yang diterangkan dalam Terma; tempoh — tempoh kontrak; kategori subjek data — hubungan perniagaan subkontraktor, pelanggan dan rakan kongsi Pelanggan, orang yang disebut oleh Penggunanya; kategori data — identiti profesional, fungsi, butiran hubungan perniagaan, kandungan mesej dan dokumen; tiada kategori khas data (Perkara 9 GDPR) dijangka dan Pelanggan berjanji untuk tidak memuat naik sebarang data sedemikian.

2. Arahan Pelanggan

2.1 PolyMatch memproses Data Pelanggan hanya atas arahan Pelanggan yang didokumenkan. Arahan tersebut ialah: Terma Penggunaan, perjanjian ini dan tindakan yang dilakukan oleh Pelanggan dan Penggunanya dalam Platform (muat naik, perkongsian, penghantaran, pemadaman).

2.2 Jika PolyMatch berpendapat bahawa sesuatu arahan melanggar GDPR atau peruntukan perlindungan data yang lain, ia memaklumkan Pelanggan dengan segera. PolyMatch boleh memproses Data Pelanggan tanpa arahan jika undang-undang Kesatuan atau Negara Anggota menghendakinya; ia kemudiannya memaklumkan Pelanggan, melainkan dilarang oleh undang-undang.

3. Kewajipan Pelanggan

Pelanggan menjamin bahawa ia mempunyai asas undang-undang bagi Data Pelanggan, bahawa ia telah memaklumkan subjek data, bahawa arahannya adalah sah di sisi undang-undang dan bahawa ia mengehadkan Data Pelanggan kepada apa yang perlu. Pelanggan sahaja yang menjawab permintaan daripada subjek data dan pihak berkuasa berkenaan Data Pelanggan, dengan bantuan PolyMatch di bawah Perkara 6.

4. Kewajipan PolyMatch

4.1 Kerahsiaan: orang yang diberi kuasa untuk memproses Data Pelanggan terikat dengan kerahsiaan melalui kontrak atau undang-undang; akses dihadkan kepada apa yang perlu bagi operasi dan sokongan.

4.2 Keselamatan: PolyMatch melaksanakan langkah teknikal dan organisasi dalam Lampiran A dan menyesuaikannya dengan perkembangan risiko, tanpa menurunkan tahap keseluruhannya.

4.3 Rekod dan kerjasama: PolyMatch menyimpan rekod kategori aktiviti pemprosesan yang dijalankan bagi Pelanggan dan bekerjasama, atas permintaan, dengan pihak berkuasa penyeliaan.

5. Subpemproses

5.1 Pelanggan memberikan kebenaran am bagi penggunaan subpemproses yang disenaraikan dalam Lampiran B, yang mengeluarkan semula senarai yang diterbitkan dalam Dasar Privasi.

5.2 PolyMatch memaklumkan Pelanggan melalui e-mel tentang sebarang penambahan atau penggantian sekurang-kurangnya tiga puluh hari sebelum ia berkuat kuasa. Pelanggan boleh membantah secara bertulis, atas alasan perlindungan data yang sah, dalam tempoh tersebut; jika tiada persetujuan dicapai, Pelanggan boleh menamatkan kontrak sebelum perubahan itu berkuat kuasa, tanpa penalti.

5.3 PolyMatch mengenakan ke atas setiap subpemproses, melalui kontrak, kewajipan perlindungan data yang setara dengan kewajipannya sendiri dan kekal bertanggungan terhadap Pelanggan bagi pelaksanaannya.

6. Bantuan dan hak subjek data

6.1 Dengan mengambil kira sifat pemprosesan, PolyMatch membantu Pelanggan dalam menjawab permintaan daripada subjek data yang melaksanakan hak mereka (akses, pembetulan, pemadaman, sekatan, kemudahalihan, bantahan). Pelanggan mempunyai, dalam Platform, cara untuk merujuk, membetulkan dan memadam Data Pelanggan; PolyMatch campur tangan atas permintaan bertulis bagi apa yang tidak dibenarkan oleh Platform, dalam tempoh sepuluh hari bekerja.

6.2 Jika subjek data menghubungi PolyMatch secara langsung mengenai Data Pelanggan, PolyMatch memajukan permintaan itu kepada Pelanggan tanpa menjawab tentang merit perkara tersebut, melainkan dikehendaki oleh undang-undang.

6.3 PolyMatch membantu Pelanggan, setakat maklumat yang tersedia kepadanya, dalam mematuhi kewajipannya berkenaan keselamatan, pemberitahuan pelanggaran dan penilaian impak (Perkara 32 hingga 36 GDPR).

7. Pelanggaran data

PolyMatch memberitahu Pelanggan tentang sebarang pelanggaran data peribadi yang menjejaskan Data Pelanggan tanpa kelewatan yang tidak wajar dan selewat-lewatnya empat puluh lapan jam selepas mengetahuinya, melalui e-mel kepada Pentadbir Pelanggan. Pemberitahuan itu menerangkan sifat pelanggaran, kategori dan anggaran bilangan subjek data dan rekod yang terlibat, kemungkinan akibatnya, langkah yang diambil atau dicadangkan, dan pusat hubungan; maklumat yang belum tersedia diberikan sebaik sahaja ia tersedia.

8. Pemindahan ke luar Kesatuan Eropah

Data Pelanggan dihoskan di Kesatuan Eropah. Sebarang pemindahan ke negara ketiga oleh subpemproses bergantung pada keputusan kecukupan atau pada fasal kontrak standard Suruhanjaya Eropah, dengan langkah tambahan yang sesuai; Lampiran B menunjukkan perlindungan yang terpakai bagi setiap subpemproses.

9. Audit

9.1 PolyMatch menyediakan kepada Pelanggan maklumat yang perlu untuk menunjukkan pematuhan terhadap perjanjian ini: penerangan langkah keselamatan, senarai subpemproses, jawapan kepada soal selidik bertulis sekali setahun.

9.2 Audit di tapak, atau audit oleh pihak ketiga yang bebas, boleh dijalankan sekali setahun, atau selepas pelanggaran data atau atas permintaan pihak berkuasa, dengan notis bertulis tiga puluh hari, dalam waktu perniagaan, tanpa mengganggu operasi atau memberikan akses kepada data pelanggan lain, atas perbelanjaan Pelanggan. Dapatan audit adalah sulit.

10. Penamatan pemprosesan

10.1 Pada akhir kontrak, PolyMatch memadam Data Pelanggan dalam tempoh tiga puluh hari, melainkan kewajipan penyimpanan di sisi undang-undang terpakai, dalam hal mana data tersebut disimpan secara berasingan sehingga kewajipan itu tamat. Pelanggan sendiri mengeksport datanya sebelum akhir kontrak melalui fungsi Platform.

10.2 Data Pelanggan yang telah dihantar, atas arahan Pelanggan, kepada Syarikat lain melalui Buka Kunci, Tawaran atau perkongsian dokumen kekal pada Syarikat tersebut, yang menjadi pengawalnya. Penyenaraian berterusan Gred selepas akhir kontrak (Perkara 12.5 Terma) melibatkan data teknikal dan data syarikat, yang bukan Data Pelanggan.

11. Liabiliti dan tempoh

11.1 Liabiliti setiap pihak di bawah perjanjian ini tertakluk kepada had dalam Perkara 13 Terma Penggunaan, kecuali jika peruntukan mandatori GDPR memperuntukkan sebaliknya.

11.2 Perjanjian ini terpakai sepanjang tempoh kontrak dan sehingga Data Pelanggan dipadam. Perjanjian ini dikawal oleh undang-undang Poland; sekiranya berlaku percanggahan dengan Terma mengenai perkara yang berkaitan dengan data peribadi, perjanjian ini diguna pakai.

Lampiran A — Langkah teknikal dan organisasi

• Pengehosan data dan fail di Kesatuan Eropah (Ireland), dengan pembekal yang diperakui ISO 27001 dan SOC 2.
• Penyulitan komunikasi (TLS 1.2 atau lebih tinggi) dan data dalam simpanan.
• Pengasingan data mengikut Syarikat dan mengikut peranan, dikuatkuasakan pada peringkat pangkalan data (kawalan akses peringkat baris); tiada akses langsung pelayar ke jadual sensitif; fungsi sensitif hanya boleh dilaksanakan oleh pelayan.
• Pengesahan melalui kata laluan yang dicincang, perlindungan terhadap kata laluan yang terjejas, tamat tempoh sesi selepas 7 hari tanpa aktiviti, semakan anti-bot semasa pendaftaran, log masuk dan penetapan semula kata laluan, pengehadan kadar.
• Akses kepada fail melalui pautan bertandatangan yang terhad masa; daftar dokumen yang dikongsi antara Syarikat.
• Rahsia teknikal disimpan dalam peti besi khusus, tidak sekali-kali dalam kod; akses pentadbir yang dinamakan dan dilog.
• Sandaran tersulit, salinan fail pada pembekal kedua; prosedur pemulihan.
• Pengelogan tindakan dan ralat; amaran apabila komunikasi kontrak gagal dihantar.
• Pembangunan dengan ujian automatik, semakan dan kawalan keselamatan sebelum setiap keluaran; audit keselamatan sebelum pelancaran dan selepas setiap perubahan besar.
• Subpemproses terikat dengan perjanjian pemprosesan data; pengesahan pensijilan dan perlindungan pemindahan mereka.
• Prosedur pengurusan pelanggaran: pengesanan, pembendungan, analisis, pemberitahuan (Perkara 7), langkah pembetulan.

Lampiran B — Subpemproses

Senarai boleh diakses oleh Pelanggan dalam Syarikat saya (Dokumen kontrak). Sebarang perubahan mengikut prosedur Perkara 5.