Verwerkersovereenkomst (DPA) — Bijlage 1 bij de Gebruiksvoorwaarden

Versie 1.0 — 3 november 2026. Deze overeenkomst (umowa powierzenia przetwarzania danych osobowych, artikel 28 AVG) wordt gesloten tussen het Bedrijf dat houder is van een PolyMatch-account (de "Klant") en [Voornaam ACHTERNAAM], [adres van de vestiging], Polen, NIP [NIP] ("PolyMatch"). Zij wordt samen met de Gebruiksvoorwaarden aanvaard door een persoon die bevoegd is de Klant te binden; een gedateerd exemplaar op naam van de Klant kan worden gedownload onder Mijn bedrijf.

1. Onderwerp en toepassingsgebied

1.1 Deze overeenkomst regelt de verwerking door PolyMatch, namens de Klant, van persoonsgegevens van derden die zijn opgenomen in de inhoud die de Klant op het Platform uploadt of invoert ("Klantgegevens"): contactgegevens van zijn onderaannemers, klanten of partners, personen die worden genoemd in zijn documenten, berichten, projecten of aanbiedingen.

1.2 De volgende gegevens zijn geen Klantgegevens en worden door PolyMatch als zelfstandige verwerkingsverantwoordelijke verwerkt, overeenkomstig het Privacybeleid: de accounts van de Gebruikers van de Klant, de identificatie- en vermeldingsgegevens van het Bedrijf, de technische gegevens van Grades, Projecten in hun technische dimensie, Leads, Matches en rangschikkingen, facturatie, beveiligings- en activiteitenlogs, toestemmingen. De Klant en PolyMatch zijn elk zelfstandige verwerkingsverantwoordelijken voor de gegevens die na een Ontgrendeling tussen Bedrijven worden uitgewisseld.

1.3 Beschrijving van de verwerking: aard — hosting, opslag, weergave aan de Klant en zijn Gebruikers, doorgifte aan de Bedrijven waarmee de Klant zich via het Platform in contact stelt, automatische vertaling van berichten, back-up; doel — het verlenen van de in de Voorwaarden beschreven diensten; duur — de looptijd van de overeenkomst; categorieën betrokkenen — zakelijke contactpersonen van de onderaannemers, klanten en partners van de Klant, personen die door zijn Gebruikers worden vermeld; categorieën gegevens — professionele identiteit, functie, zakelijke contactgegevens, inhoud van berichten en documenten; er worden geen bijzondere categorieën van gegevens (artikel 9 AVG) verwacht en de Klant verbindt zich ertoe geen dergelijke gegevens te uploaden.

2. Instructies van de Klant

2.1 PolyMatch verwerkt Klantgegevens uitsluitend op basis van gedocumenteerde instructies van de Klant. De instructies zijn: de Gebruiksvoorwaarden, deze overeenkomst en de handelingen die de Klant en zijn Gebruikers in het Platform verrichten (uploaden, delen, verzenden, verwijderen).

2.2 Indien PolyMatch van oordeel is dat een instructie inbreuk maakt op de AVG of op andere bepalingen inzake gegevensbescherming, stelt het de Klant daarvan onverwijld in kennis. PolyMatch kan Klantgegevens zonder instructie verwerken wanneer het recht van de Unie of van een lidstaat dit vereist; het stelt de Klant daarvan dan in kennis, tenzij de wet dit verbiedt.

3. Verplichtingen van de Klant

De Klant staat ervoor in dat hij over een rechtsgrondslag voor de Klantgegevens beschikt, dat hij de betrokkenen heeft geïnformeerd, dat zijn instructies rechtmatig zijn en dat hij de Klantgegevens beperkt tot wat noodzakelijk is. Hij beantwoordt als enige de verzoeken van betrokkenen en autoriteiten met betrekking tot Klantgegevens, met de bijstand van PolyMatch op grond van artikel 6.

4. Verplichtingen van PolyMatch

4.1 Vertrouwelijkheid: de personen die gemachtigd zijn Klantgegevens te verwerken, zijn contractueel of wettelijk tot geheimhouding verplicht; de toegang is beperkt tot wat noodzakelijk is voor de exploitatie en de ondersteuning.

4.2 Beveiliging: PolyMatch treft de technische en organisatorische maatregelen van Bijlage A en past deze aan de ontwikkeling van de risico's aan, zonder het algemene niveau ervan te verlagen.

4.3 Register en samenwerking: PolyMatch houdt het register bij van de categorieën van verwerkingsactiviteiten die voor de Klant worden verricht en werkt op verzoek samen met de toezichthoudende autoriteit.

5. Subverwerkers

5.1 De Klant verleent een algemene toestemming voor het inschakelen van de subverwerkers die zijn opgenomen in Bijlage B, die de in het Privacybeleid gepubliceerde lijst overneemt.

5.2 PolyMatch stelt de Klant ten minste dertig dagen vóór de inwerkingtreding per e-mail in kennis van elke toevoeging of vervanging. De Klant kan binnen die termijn, om gerechtvaardigde redenen in verband met gegevensbescherming, schriftelijk bezwaar maken; bij gebreke van overeenstemming kan de Klant de overeenkomst vóór de inwerkingtreding van de wijziging zonder boete beëindigen.

5.3 PolyMatch legt elke subverwerker contractueel verplichtingen inzake gegevensbescherming op die gelijkwaardig zijn aan zijn eigen verplichtingen en blijft jegens de Klant aansprakelijk voor de nakoming daarvan.

6. Bijstand en rechten van betrokkenen

6.1 Rekening houdend met de aard van de verwerking staat PolyMatch de Klant bij in het beantwoorden van verzoeken van betrokkenen die hun rechten uitoefenen (inzage, rectificatie, wissing, beperking, overdraagbaarheid, bezwaar). De Klant beschikt in het Platform over de middelen om Klantgegevens te raadplegen, te corrigeren en te verwijderen; PolyMatch treedt op schriftelijk verzoek op voor wat het Platform niet toelaat, binnen tien werkdagen.

6.2 Indien een betrokkene zich met betrekking tot Klantgegevens rechtstreeks tot PolyMatch wendt, stuurt PolyMatch het verzoek door aan de Klant zonder het inhoudelijk te beantwoorden, tenzij de wet dit vereist.

6.3 PolyMatch staat de Klant bij, binnen de grenzen van de informatie waarover het beschikt, bij het nakomen van zijn verplichtingen inzake beveiliging, melding van inbreuken en effectbeoordeling (artikelen 32 tot en met 36 AVG).

7. Inbreuken in verband met persoonsgegevens

PolyMatch meldt de Klant elke inbreuk in verband met persoonsgegevens die Klantgegevens treft zonder onredelijke vertraging en uiterlijk achtenveertig uur nadat het daarvan kennis heeft gekregen, per e-mail aan de Beheerders van de Klant. De melding beschrijft de aard van de inbreuk, de categorieën en het geschatte aantal betrokkenen en betrokken registraties, de waarschijnlijke gevolgen, de genomen of voorgestelde maatregelen en het contactpunt; informatie die nog niet beschikbaar is, wordt verstrekt zodra zij beschikbaar is.

8. Doorgiften buiten de Europese Unie

Klantgegevens worden in de Europese Unie gehost. Elke doorgifte naar een derde land door een subverwerker berust op een adequaatheidsbesluit of op de modelcontractbepalingen van de Europese Commissie, met passende aanvullende maatregelen; Bijlage B vermeldt de waarborg die op elke subverwerker van toepassing is.

9. Audit

9.1 PolyMatch stelt de Klant de informatie ter beschikking die nodig is om de naleving van deze overeenkomst aan te tonen: beschrijving van de beveiligingsmaatregelen, lijst van subverwerkers, antwoorden op een schriftelijke vragenlijst eenmaal per jaar.

9.2 Een audit ter plaatse, of een audit door een onafhankelijke derde, is mogelijk eenmaal per jaar, of na een inbreuk in verband met persoonsgegevens of op verzoek van een autoriteit, met een schriftelijke aankondiging van dertig dagen, tijdens kantooruren, zonder de bedrijfsvoering te verstoren of toegang te geven tot gegevens van andere klanten, op kosten van de Klant. De bevindingen zijn vertrouwelijk.

10. Einde van de verwerking

10.1 Bij het einde van de overeenkomst verwijdert PolyMatch de Klantgegevens binnen dertig dagen, tenzij een wettelijke bewaarplicht van toepassing is, in welk geval de gegevens afgezonderd worden bewaard totdat die verplichting vervalt. De Klant exporteert zijn gegevens zelf vóór het einde van de overeenkomst via de functies van het Platform.

10.2 Klantgegevens die reeds, op instructie van de Klant, via een Ontgrendeling, een Aanbieding of het delen van documenten aan een ander Bedrijf zijn doorgegeven, blijven bij dat Bedrijf, dat de verwerkingsverantwoordelijke ervan is. De voortgezette vermelding van Grades na het einde van de overeenkomst (artikel 12.5 van de Voorwaarden) heeft betrekking op technische en bedrijfsgegevens, die geen Klantgegevens zijn.

11. Aansprakelijkheid en looptijd

11.1 De aansprakelijkheid van elke partij uit hoofde van deze overeenkomst is onderworpen aan de beperkingen van artikel 13 van de Gebruiksvoorwaarden, behalve waar dwingende bepalingen van de AVG anders bepalen.

11.2 Deze overeenkomst is van toepassing gedurende de gehele looptijd van de overeenkomst en totdat de Klantgegevens zijn verwijderd. Zij wordt beheerst door Pools recht; bij strijdigheid met de Voorwaarden over een aangelegenheid die betrekking heeft op persoonsgegevens, heeft deze overeenkomst voorrang.

Bijlage A — Technische en organisatorische maatregelen

• Hosting van gegevens en bestanden in de Europese Unie (Ierland), bij een dienstverlener met ISO 27001- en SOC 2-certificering.
• Versleuteling van de communicatie (TLS 1.2 of hoger) en van opgeslagen gegevens.
• Scheiding van gegevens per Bedrijf en per rol, afgedwongen op het niveau van de databank (toegangscontrole per rij); geen rechtstreekse toegang vanuit de browser tot gevoelige tabellen; gevoelige functies uitsluitend door de server uitvoerbaar.
• Authenticatie met gehasht wachtwoord, bescherming tegen gecompromitteerde wachtwoorden, verloop van de sessie na 7 dagen inactiviteit, anti-botcontrole bij registratie, aanmelding en herstel van het wachtwoord, snelheidsbeperking.
• Toegang tot bestanden via ondertekende links met beperkte geldigheidsduur; register van de tussen Bedrijven gedeelde documenten.
• Technische geheimen bewaard in een speciale kluis, nooit in de code; benoemde en gelogde beheerderstoegang.
• Versleutelde back-ups, kopie van bestanden bij een tweede dienstverlener; herstelprocedure.
• Registratie van handelingen en fouten; waarschuwing wanneer een contractuele mededeling niet kan worden verzonden.
• Ontwikkeling met geautomatiseerde tests, review en beveiligingscontroles vóór elke release; beveiligingsaudit vóór de lancering en na elke ingrijpende wijziging.
• Subverwerkers gebonden door een verwerkersovereenkomst; controle van hun certificeringen en waarborgen voor doorgifte.
• Procedure voor het beheer van inbreuken: detectie, inperking, analyse, melding (artikel 7), corrigerende maatregelen.

Bijlage B — Subverwerkers

Lijst toegankelijk voor Klanten onder Mijn bedrijf (Contractdocumenten). Elke wijziging volgt de procedure van artikel 5.