Acordo de Subcontratação do Tratamento de Dados (DPA) — Anexo 1 das Condições de Utilização

Versão 1.0 — 3 de novembro de 2026. O presente acordo (umowa powierzenia przetwarzania danych osobowych, artigo 28.º do RGPD) é celebrado entre a Empresa titular de uma conta PolyMatch (o "Cliente") e [Nome APELIDO], [morada da sede], Polónia, NIP [NIP] ("PolyMatch"). É aceite juntamente com as Condições de Utilização por uma pessoa com poderes para vincular o Cliente; pode ser descarregada em A minha empresa uma cópia datada em nome do Cliente.

1. Objeto e âmbito de aplicação

1.1 O presente acordo regula o tratamento pela PolyMatch, por conta do Cliente, de dados pessoais de terceiros contidos no conteúdo que o Cliente carrega ou introduz na Plataforma ("Dados do Cliente"): contactos dos seus subcontratados, clientes ou parceiros, pessoas mencionadas nos seus documentos, mensagens, projetos ou ofertas.

1.2 Não constituem Dados do Cliente, sendo tratados pela PolyMatch na qualidade de responsável independente pelo tratamento, nos termos da Política de Privacidade: as contas dos Utilizadores do Cliente, os dados de identificação e de inclusão na Plataforma da Empresa, os dados técnicos dos Grades, os Projetos na sua dimensão técnica, os Leads, os Matchs e as ordenações, a faturação, os registos de segurança e de atividade, os consentimentos. O Cliente e a PolyMatch são, cada um, responsáveis independentes pelo tratamento dos dados trocados entre Empresas após um Desbloqueio.

1.3 Descrição do tratamento: natureza — alojamento, armazenamento, apresentação ao Cliente e aos seus Utilizadores, transmissão às Empresas com as quais o Cliente se coloca em contacto através da Plataforma, tradução automática das mensagens, cópia de segurança; finalidade — prestar os serviços descritos nas Condições; duração — a vigência do contrato; categorias de titulares dos dados — contactos profissionais dos subcontratados, clientes e parceiros do Cliente, pessoas mencionadas pelos seus Utilizadores; categorias de dados — identidade profissional, função, contactos profissionais, conteúdo das mensagens e documentos; não se prevê qualquer categoria especial de dados (artigo 9.º do RGPD) e o Cliente compromete-se a não carregar nenhuma.

2. Instruções do Cliente

2.1 A PolyMatch trata os Dados do Cliente apenas mediante instruções documentadas do Cliente. As instruções são: as Condições de Utilização, o presente acordo e as ações que o Cliente e os seus Utilizadores realizam na Plataforma (carregamento, partilha, envio, eliminação).

2.2 Se a PolyMatch considerar que uma instrução viola o RGPD ou outras disposições em matéria de proteção de dados, informa sem demora o Cliente. A PolyMatch pode tratar Dados do Cliente sem instrução quando o direito da União ou de um Estado-Membro o exija; nesse caso informa o Cliente, salvo se a lei o proibir.

3. Obrigações do Cliente

O Cliente garante que dispõe de um fundamento jurídico para os Dados do Cliente, que informou os titulares dos dados, que as suas instruções são lícitas e que limita os Dados do Cliente ao necessário. Só ele responde aos pedidos dos titulares dos dados e das autoridades relativos aos Dados do Cliente, com a assistência da PolyMatch nos termos do artigo 6.

4. Obrigações da PolyMatch

4.1 Confidencialidade: as pessoas autorizadas a tratar os Dados do Cliente estão sujeitas a um dever de confidencialidade, por contrato ou por força da lei; o acesso é limitado ao necessário para o funcionamento e o apoio.

4.2 Segurança: a PolyMatch aplica as medidas técnicas e organizativas do Anexo A e adapta-as à evolução dos riscos, sem reduzir o seu nível global.

4.3 Registo e cooperação: a PolyMatch mantém o registo das categorias de atividades de tratamento realizadas por conta do Cliente e coopera, mediante pedido, com a autoridade de controlo.

5. Subcontratantes ulteriores

5.1 O Cliente concede uma autorização geral para o recurso aos subcontratantes ulteriores enumerados no Anexo B, que reproduz a lista publicada na Política de Privacidade.

5.2 A PolyMatch informa o Cliente por correio eletrónico de qualquer aditamento ou substituição com uma antecedência mínima de trinta dias relativamente à sua produção de efeitos. O Cliente pode opor-se por escrito, por motivos legítimos relacionados com a proteção de dados, dentro desse prazo; na falta de acordo, o Cliente pode fazer cessar o contrato antes de a alteração produzir efeitos, sem penalização.

5.3 A PolyMatch impõe por contrato a cada subcontratante ulterior obrigações de proteção de dados equivalentes às suas e continua a ser responsável perante o Cliente pelo seu cumprimento.

6. Assistência e direitos dos titulares dos dados

6.1 Tendo em conta a natureza do tratamento, a PolyMatch presta assistência ao Cliente na resposta aos pedidos dos titulares dos dados que exerçam os seus direitos (acesso, retificação, apagamento, limitação, portabilidade, oposição). O Cliente dispõe, na Plataforma, dos meios para consultar, corrigir e eliminar os Dados do Cliente; a PolyMatch intervém mediante pedido escrito relativamente ao que a Plataforma não permita, no prazo de dez dias úteis.

6.2 Se um titular dos dados contactar diretamente a PolyMatch a respeito de Dados do Cliente, a PolyMatch reencaminha o pedido para o Cliente sem se pronunciar sobre o mérito, salvo obrigação legal.

6.3 A PolyMatch presta assistência ao Cliente, na medida das informações de que dispõe, no cumprimento das suas obrigações em matéria de segurança, notificação de violações e avaliação de impacto (artigos 32.º a 36.º do RGPD).

7. Violações de dados

A PolyMatch notifica o Cliente de qualquer violação de dados pessoais que afete Dados do Cliente sem demora injustificada e, o mais tardar, quarenta e oito horas após ter tido conhecimento da mesma, por correio eletrónico para os Administradores do Cliente. A notificação descreve a natureza da violação, as categorias e o número aproximado de titulares dos dados e de registos afetados, as consequências prováveis, as medidas adotadas ou propostas e o ponto de contacto; as informações ainda não disponíveis são fornecidas logo que o estejam.

8. Transferências para fora da União Europeia

Os Dados do Cliente estão alojados na União Europeia. Qualquer transferência para um país terceiro por um subcontratante ulterior baseia-se numa decisão de adequação ou nas cláusulas contratuais-tipo da Comissão Europeia, com as medidas complementares adequadas; o Anexo B indica a garantia aplicável a cada subcontratante ulterior.

9. Auditoria

9.1 A PolyMatch disponibiliza ao Cliente as informações necessárias para demonstrar o cumprimento do presente acordo: descrição das medidas de segurança, lista dos subcontratantes ulteriores, respostas a um questionário escrito uma vez por ano.

9.2 É possível uma auditoria no local, ou uma auditoria por um terceiro independente, uma vez por ano, ou após uma violação de dados ou a pedido de uma autoridade, mediante pré-aviso escrito de trinta dias, durante o horário de expediente, sem perturbar a atividade nem dar acesso aos dados de outros clientes, a expensas do Cliente. As conclusões são confidenciais.

10. Fim do tratamento

10.1 No termo do contrato, a PolyMatch apaga os Dados do Cliente no prazo de trinta dias, salvo se se aplicar uma obrigação legal de conservação, caso em que os dados são conservados de forma isolada até à extinção dessa obrigação. O Cliente exporta ele próprio os seus dados antes do termo do contrato através das funções da Plataforma.

10.2 Os Dados do Cliente já transmitidos, por instrução do Cliente, a outra Empresa através de um Desbloqueio, de uma Oferta ou de uma partilha de documentos permanecem na posse dessa Empresa, que é a respetiva responsável pelo tratamento. A manutenção dos Grades na Plataforma após o termo do contrato (artigo 12.5 das Condições) diz respeito a dados técnicos e da empresa, que não são Dados do Cliente.

11. Responsabilidade e duração

11.1 A responsabilidade de cada parte ao abrigo do presente acordo está sujeita às limitações do artigo 13 das Condições de Utilização, salvo disposição imperativa em contrário do RGPD.

11.2 O presente acordo aplica-se durante toda a vigência do contrato e até ao apagamento dos Dados do Cliente. Rege-se pela lei polaca; em caso de conflito com as Condições numa matéria relativa a dados pessoais, prevalece o presente acordo.

Anexo A — Medidas técnicas e organizativas

• Alojamento dos dados e ficheiros na União Europeia (Irlanda), junto de um prestador certificado ISO 27001 e SOC 2.
• Cifragem das comunicações (TLS 1.2 ou superior) e dos dados em repouso.
• Separação dos dados por Empresa e por função, aplicada ao nível da base de dados (controlo de acesso ao nível da linha); nenhum acesso direto do navegador às tabelas sensíveis; funções sensíveis executáveis apenas pelo servidor.
• Autenticação por palavra-passe com hash, proteção contra palavras-passe comprometidas, expiração da sessão após 7 dias de inatividade, verificação antibots no registo, no início de sessão e na reposição da palavra-passe, limitação de pedidos.
• Acesso aos ficheiros através de ligações assinadas de duração limitada; registo dos documentos partilhados entre Empresas.
• Segredos técnicos guardados num cofre dedicado, nunca no código; acessos de administrador nominativos e registados.
• Cópias de segurança cifradas, cópia dos ficheiros junto de um segundo prestador; procedimento de restauro.
• Registo das ações e dos erros; alerta quando uma comunicação contratual não consegue ser enviada.
• Desenvolvimento com testes automatizados, revisão e salvaguardas de segurança antes de cada versão; auditoria de segurança antes do lançamento e após cada alteração importante.
• Subcontratantes ulteriores vinculados por um acordo de subcontratação do tratamento de dados; verificação das suas certificações e garantias de transferência.
• Procedimento de gestão de violações: deteção, contenção, análise, notificação (artigo 7), medidas corretivas.

Anexo B — Subcontratantes ulteriores

Lista acessível aos Clientes em A minha empresa (Documentos contratuais). Qualquer alteração segue o procedimento do artigo 5.