Databehandleravtale (DPA) — Vedlegg 1 til Bruksvilkårene

Versjon 1.0 — 3. november 2026. Denne avtalen (umowa powierzenia przetwarzania danych osobowych, artikkel 28 i GDPR) inngås mellom det Selskapet som har en PolyMatch-konto («Kunden»), og [Fornavn ETTERNAVN], [registrert adresse], Polen, NIP [NIP] («PolyMatch»). Den aksepteres sammen med Bruksvilkårene av en person som har fullmakt til å forplikte Kunden; en datert kopi i Kundens navn kan lastes ned under Min bedrift.

1. Gjenstand og virkeområde

1.1 Denne avtalen regulerer PolyMatchs behandling, på vegne av Kunden, av personopplysninger om tredjeparter som finnes i innholdet som Kunden laster opp eller registrerer på Plattformen («Kundeopplysninger»): kontaktopplysninger for Kundens underleverandører, kunder eller partnere, personer som er nevnt i Kundens dokumenter, meldinger, prosjekter eller tilbud.

1.2 Følgende er ikke Kundeopplysninger og behandles av PolyMatch som selvstendig behandlingsansvarlig, i samsvar med Personvernerklæringen: kontoene til Kundens Brukere, Selskapets identifikasjons- og oppføringsopplysninger, Kvalitetenes tekniske data, Prosjekter i deres tekniske dimensjon, Leads, Treff og rangeringer, fakturering, sikkerhets- og aktivitetslogger, samtykker. Kunden og PolyMatch er hver for seg selvstendige behandlingsansvarlige for opplysningene som utveksles mellom Selskaper etter en Opplåsing.

1.3 Beskrivelse av behandlingen: art — hosting, lagring, visning for Kunden og Kundens Brukere, overføring til de Selskapene som Kunden setter seg i kontakt med via Plattformen, automatisk oversettelse av meldinger, sikkerhetskopiering; formål — levering av tjenestene som er beskrevet i Vilkårene; varighet — avtalens varighet; kategorier av registrerte — kontaktpersoner i jobbsammenheng hos Kundens underleverandører, kunder og partnere, personer som nevnes av Kundens Brukere; kategorier av opplysninger — yrkesmessig identitet, stilling, kontaktopplysninger i jobbsammenheng, innhold i meldinger og dokumenter; ingen særlige kategorier av opplysninger (artikkel 9 i GDPR) forventes, og Kunden forplikter seg til ikke å laste opp slike.

2. Kundens instrukser

2.1 PolyMatch behandler Kundeopplysninger bare etter Kundens dokumenterte instrukser. Instruksene er: Bruksvilkårene, denne avtalen og handlingene som Kunden og Kundens Brukere utfører på Plattformen (opplasting, deling, sending, sletting).

2.2 Dersom PolyMatch mener at en instruks er i strid med GDPR eller andre bestemmelser om personvern, informerer PolyMatch Kunden uten opphold. PolyMatch kan behandle Kundeopplysninger uten instruks når unionsretten eller en medlemsstats nasjonale rett krever det; PolyMatch informerer da Kunden, med mindre loven forbyr det.

3. Kundens plikter

Kunden garanterer at den har et rettslig grunnlag for Kundeopplysningene, at den har informert de registrerte, at dens instrukser er lovlige, og at den begrenser Kundeopplysningene til det som er nødvendig. Kunden alene besvarer henvendelser fra registrerte og myndigheter som gjelder Kundeopplysninger, med bistand fra PolyMatch i henhold til artikkel 6.

4. PolyMatchs plikter

4.1 Konfidensialitet: personer som har tillatelse til å behandle Kundeopplysninger, er underlagt taushetsplikt i henhold til avtale eller lov; tilgangen er begrenset til det som er nødvendig for drift og brukerstøtte.

4.2 Sikkerhet: PolyMatch gjennomfører de tekniske og organisatoriske tiltakene i Vedlegg A og tilpasser dem til utviklingen i risikoene, uten å senke det samlede nivået.

4.3 Protokoll og samarbeid: PolyMatch fører protokoll over kategoriene av behandlingsaktiviteter som utføres for Kunden, og samarbeider, på anmodning, med tilsynsmyndigheten.

5. Underdatabehandlere

5.1 Kunden gir en generell godkjenning til bruk av underdatabehandlerne som er oppført i Vedlegg B, som gjengir listen som er publisert i Personvernerklæringen.

5.2 PolyMatch informerer Kunden via e-post om ethvert tillegg eller enhver utskifting minst tretti dager før endringen får virkning. Kunden kan protestere skriftlig, av berettigede personvernhensyn, innen denne fristen; dersom partene ikke blir enige, kan Kunden si opp avtalen før endringen får virkning, uten sanksjoner.

5.3 PolyMatch pålegger ved avtale hver underdatabehandler personvernforpliktelser som tilsvarer PolyMatchs egne, og forblir ansvarlig overfor Kunden for at de oppfylles.

6. Bistand og de registrertes rettigheter

6.1 Under hensyn til behandlingens art bistår PolyMatch Kunden med å besvare henvendelser fra registrerte som utøver sine rettigheter (innsyn, retting, sletting, begrensning, dataportabilitet, protest). Kunden har på Plattformen mulighet til å se, korrigere og slette Kundeopplysninger; PolyMatch bistår på skriftlig anmodning med det Plattformen ikke gjør mulig, innen ti virkedager.

6.2 Dersom en registrert kontakter PolyMatch direkte om Kundeopplysninger, videresender PolyMatch henvendelsen til Kunden uten å besvare den realitetsmessig, med mindre loven krever det.

6.3 PolyMatch bistår Kunden, i den grad opplysningene PolyMatch har tilgang til tillater det, med å overholde Kundens plikter knyttet til sikkerhet, melding om brudd og konsekvensvurdering (artikkel 32 til 36 i GDPR).

7. Brudd på personopplysningssikkerheten

PolyMatch varsler Kunden om ethvert brudd på personopplysningssikkerheten som berører Kundeopplysninger, uten ugrunnet opphold og senest førtiåtte timer etter å ha blitt kjent med det, via e-post til Kundens Administratorer. Varselet beskriver bruddets art, kategoriene og det omtrentlige antallet berørte registrerte og registreringer, de sannsynlige konsekvensene, tiltakene som er truffet eller foreslått, samt kontaktpunktet; opplysninger som ennå ikke er tilgjengelige, gis så snart de foreligger.

8. Overføringer utenfor Den europeiske union

Kundeopplysninger lagres i Den europeiske union. Enhver overføring til et tredjeland foretatt av en underdatabehandler bygger på en beslutning om tilstrekkelig beskyttelsesnivå eller på Europakommisjonens standard personvernbestemmelser, med egnede supplerende tiltak; Vedlegg B angir garantien som gjelder for hver underdatabehandler.

9. Revisjon

9.1 PolyMatch stiller til rådighet for Kunden de opplysningene som er nødvendige for å påvise etterlevelse av denne avtalen: beskrivelse av sikkerhetstiltakene, liste over underdatabehandlere, svar på et skriftlig spørreskjema én gang i året.

9.2 En revisjon på stedet, eller en revisjon utført av en uavhengig tredjepart, kan gjennomføres én gang i året, eller etter et brudd på personopplysningssikkerheten eller på anmodning fra en myndighet, med tretti dagers skriftlig varsel, i arbeidstiden, uten å forstyrre driften eller gi tilgang til andre kunders opplysninger, for Kundens regning. Funnene er konfidensielle.

10. Opphør av behandlingen

10.1 Ved avtalens opphør sletter PolyMatch Kundeopplysningene innen tretti dager, med mindre en lovbestemt oppbevaringsplikt gjelder; i så fall oppbevares opplysningene isolert til denne plikten opphører. Kunden eksporterer selv sine opplysninger før avtalens opphør ved hjelp av Plattformens funksjoner.

10.2 Kundeopplysninger som etter Kundens instruks allerede er overført til et annet Selskap gjennom en Opplåsing, et Tilbud eller deling av dokumenter, forblir hos dette Selskapet, som er behandlingsansvarlig for dem. Den fortsatte oppføringen av Kvaliteter etter avtalens opphør (artikkel 12.5 i Vilkårene) gjelder tekniske opplysninger og selskapsopplysninger, som ikke er Kundeopplysninger.

11. Ansvar og varighet

11.1 Hver parts ansvar etter denne avtalen er underlagt begrensningene i artikkel 13 i Bruksvilkårene, unntatt der ufravikelige bestemmelser i GDPR fastsetter noe annet.

11.2 Denne avtalen gjelder i hele avtaleforholdets varighet og inntil Kundeopplysningene er slettet. Den er underlagt polsk rett; ved motstrid med Vilkårene i et spørsmål som gjelder personopplysninger, har denne avtalen forrang.

Vedlegg A — Tekniske og organisatoriske tiltak

• Hosting av data og filer i Den europeiske union (Irland), hos en leverandør sertifisert etter ISO 27001 og SOC 2.
• Kryptering av kommunikasjonen (TLS 1.2 eller høyere) og av lagrede data.
• Atskillelse av data per Selskap og per rolle, håndhevet på databasenivå (tilgangskontroll på radnivå); ingen direkte tilgang fra nettleseren til sensitive tabeller; sensitive funksjoner kan bare kjøres av serveren.
• Autentisering med hashet passord, beskyttelse mot kompromitterte passord, utløp av økten etter 7 dagers inaktivitet, kontroll mot roboter ved registrering, pålogging og tilbakestilling av passord, begrensning av forespørselsfrekvens.
• Tilgang til filer via tidsbegrensede signerte lenker; register over dokumenter som deles mellom Selskaper.
• Tekniske hemmeligheter oppbevart i et eget hvelv, aldri i koden; navngitt og logget administratortilgang.
• Krypterte sikkerhetskopier, kopi av filer hos en annen leverandør; prosedyre for gjenoppretting.
• Logging av handlinger og feil; varsling når en avtalemessig meddelelse ikke blir sendt.
• Utvikling med automatiserte tester, gjennomgang og sikkerhetssperrer før hver utgivelse; sikkerhetsrevisjon før lansering og etter hver større endring.
• Underdatabehandlere bundet av en databehandleravtale; kontroll av deres sertifiseringer og overføringsgarantier.
• Prosedyre for håndtering av brudd: oppdagelse, begrensning, analyse, varsling (artikkel 7), korrigerende tiltak.

Vedlegg B — Underdatabehandlere

Listen er tilgjengelig for Kunder under Min bedrift (Avtaledokumenter). Enhver endring følger prosedyren i artikkel 5.