Acordul privind prelucrarea datelor (DPA) — Anexa 1 la Condițiile de utilizare

Versiunea 1.0 — 3 noiembrie 2026. Prezentul acord (umowa powierzenia przetwarzania danych osobowych, articolul 28 din GDPR) se încheie între Compania titulară a unui cont PolyMatch („Clientul”) și [Prenume NUME], [adresa sediului], Polonia, NIP [NIP] („PolyMatch”). Acesta este acceptat împreună cu Condițiile de utilizare de către o persoană autorizată să angajeze Clientul; un exemplar datat pe numele Clientului poate fi descărcat din Compania mea.

1. Obiect și domeniu de aplicare

1.1 Prezentul acord reglementează prelucrarea de către PolyMatch, în numele Clientului, a datelor cu caracter personal ale terților cuprinse în conținutul pe care Clientul îl încarcă sau îl introduce pe Platformă („Datele Clientului”): datele de contact ale subcontractanților, clienților sau partenerilor săi, persoanele menționate în documentele, mesajele, proiectele sau ofertele sale.

1.2 Nu constituie Date ale Clientului și sunt prelucrate de PolyMatch în calitate de operator independent, în conformitate cu Politica de confidențialitate: conturile Utilizatorilor Clientului, datele de identificare și de listare ale Companiei, datele tehnice ale Gradelor, Proiectele în dimensiunea lor tehnică, Lead-urile, Potrivirile și clasamentele, facturarea, jurnalele de securitate și de activitate, consimțămintele. Clientul și PolyMatch sunt fiecare operatori independenți ai datelor schimbate între Companii după o Deblocare.

1.3 Descrierea prelucrării: natura — găzduire, stocare, afișare către Client și Utilizatorii săi, transmitere către Companiile cu care Clientul se pune în legătură prin intermediul Platformei, traducerea automată a mesajelor, copiere de rezervă; scopul — furnizarea serviciilor descrise în Condiții; durata — durata contractului; categoriile de persoane vizate — persoanele de contact profesionale ale subcontractanților, clienților și partenerilor Clientului, persoanele menționate de Utilizatorii săi; categoriile de date — identitate profesională, funcție, date de contact profesionale, conținutul mesajelor și al documentelor; nu se preconizează categorii speciale de date (articolul 9 din GDPR), iar Clientul se obligă să nu încarce astfel de date.

2. Instrucțiunile Clientului

2.1 PolyMatch prelucrează Datele Clientului numai pe baza instrucțiunilor documentate ale Clientului. Instrucțiunile sunt: Condițiile de utilizare, prezentul acord și acțiunile pe care Clientul și Utilizatorii săi le efectuează în Platformă (încărcare, partajare, trimitere, ștergere).

2.2 Dacă PolyMatch consideră că o instrucțiune încalcă GDPR sau alte dispoziții privind protecția datelor, informează Clientul fără întârziere. PolyMatch poate prelucra Datele Clientului fără instrucțiuni atunci când dreptul Uniunii sau al unui stat membru impune acest lucru; în acest caz, informează Clientul, cu excepția cazului în care legea interzice acest lucru.

3. Obligațiile Clientului

Clientul garantează că dispune de un temei juridic pentru Datele Clientului, că a informat persoanele vizate, că instrucțiunile sale sunt licite și că limitează Datele Clientului la ceea ce este necesar. Numai acesta răspunde la cererile persoanelor vizate și ale autorităților privind Datele Clientului, cu asistența PolyMatch potrivit articolului 6.

4. Obligațiile PolyMatch

4.1 Confidențialitate: persoanele autorizate să prelucreze Datele Clientului sunt ținute de confidențialitate prin contract sau prin lege; accesul este limitat la ceea ce este necesar pentru funcționare și asistență.

4.2 Securitate: PolyMatch pune în aplicare măsurile tehnice și organizatorice din Anexa A și le adaptează la evoluția riscurilor, fără a reduce nivelul lor general.

4.3 Evidențe și cooperare: PolyMatch ține evidența categoriilor de activități de prelucrare efectuate pentru Client și cooperează, la cerere, cu autoritatea de supraveghere.

5. Subîmputerniciți

5.1 Clientul acordă o autorizare generală pentru recurgerea la subîmputerniciții enumerați în Anexa B, care reproduce lista publicată în Politica de confidențialitate.

5.2 PolyMatch informează Clientul prin e-mail cu privire la orice adăugare sau înlocuire cu cel puțin treizeci de zile înainte de intrarea acesteia în vigoare. Clientul poate formula obiecții în scris, din motive legitime legate de protecția datelor, în acest termen; în lipsa unui acord, Clientul poate rezilia contractul înainte de intrarea în vigoare a modificării, fără penalități.

5.3 PolyMatch impune fiecărui subîmputernicit, prin contract, obligații de protecție a datelor echivalente cu cele proprii și rămâne răspunzător față de Client pentru îndeplinirea acestora.

6. Asistență și drepturile persoanelor vizate

6.1 Ținând seama de natura prelucrării, PolyMatch asistă Clientul în răspunsul la cererile persoanelor vizate care își exercită drepturile (acces, rectificare, ștergere, restricționare, portabilitate, opoziție). Clientul dispune, în cadrul Platformei, de mijloacele necesare pentru a consulta, corecta și șterge Datele Clientului; PolyMatch intervine, la cerere scrisă, pentru ceea ce Platforma nu permite, în termen de zece zile lucrătoare.

6.2 Dacă o persoană vizată contactează direct PolyMatch cu privire la Datele Clientului, PolyMatch transmite cererea Clientului fără a răspunde pe fond, cu excepția cazului în care este obligat prin lege.

6.3 PolyMatch asistă Clientul, în limita informațiilor de care dispune, în respectarea obligațiilor sale privind securitatea, notificarea încălcărilor și evaluarea impactului (articolele 32-36 din GDPR).

7. Încălcări ale securității datelor

PolyMatch notifică Clientului orice încălcare a securității datelor cu caracter personal care afectează Datele Clientului fără întârzieri nejustificate și cel târziu în patruzeci și opt de ore după ce a luat cunoștință de aceasta, prin e-mail către Administratorii Clientului. Notificarea descrie natura încălcării, categoriile și numărul aproximativ al persoanelor vizate și al înregistrărilor în cauză, consecințele probabile, măsurile luate sau propuse, precum și punctul de contact; informațiile care nu sunt încă disponibile sunt furnizate de îndată ce devin disponibile.

8. Transferuri în afara Uniunii Europene

Datele Clientului sunt găzduite în Uniunea Europeană. Orice transfer către o țară terță efectuat de un subîmputernicit se bazează pe o decizie privind caracterul adecvat sau pe clauzele contractuale standard ale Comisiei Europene, cu măsuri suplimentare adecvate; Anexa B indică garanția aplicabilă fiecărui subîmputernicit.

9. Audit

9.1 PolyMatch pune la dispoziția Clientului informațiile necesare pentru a demonstra respectarea prezentului acord: descrierea măsurilor de securitate, lista subîmputerniciților, răspunsuri la un chestionar scris o dată pe an.

9.2 Un audit la fața locului sau un audit efectuat de o terță parte independentă este posibil o dată pe an, sau după o încălcare a securității datelor ori la cererea unei autorități, cu o notificare scrisă prealabilă de treizeci de zile, în timpul programului de lucru, fără a perturba activitatea și fără a oferi acces la datele altor clienți, pe cheltuiala Clientului. Constatările sunt confidențiale.

10. Încetarea prelucrării

10.1 La încetarea contractului, PolyMatch șterge Datele Clientului în termen de treizeci de zile, cu excepția cazului în care se aplică o obligație legală de păstrare, caz în care datele sunt păstrate izolat până la expirarea acestei obligații. Clientul își exportă el însuși datele înainte de încetarea contractului, prin intermediul funcțiilor Platformei.

10.2 Datele Clientului deja transmise, la instrucțiunea Clientului, unei alte Companii prin intermediul unei Deblocări, al unei Oferte sau al partajării de documente rămân la acea Companie, care este operatorul acestora. Menținerea listării Gradelor după încetarea contractului (articolul 12.5 din Condiții) privește date tehnice și date ale companiei, care nu sunt Date ale Clientului.

11. Răspundere și durată

11.1 Răspunderea fiecărei părți în temeiul prezentului acord este supusă limitărilor de la articolul 13 din Condițiile de utilizare, cu excepția cazului în care dispozițiile imperative ale GDPR prevăd altfel.

11.2 Prezentul acord se aplică pe întreaga durată a contractului și până la ștergerea Datelor Clientului. Acesta este guvernat de legea poloneză; în caz de contradicție cu Condițiile cu privire la o chestiune referitoare la datele cu caracter personal, prevalează prezentul acord.

Anexa A — Măsuri tehnice și organizatorice

• Găzduirea datelor și a fișierelor în Uniunea Europeană (Irlanda), la un furnizor certificat ISO 27001 și SOC 2.
• Criptarea comunicațiilor (TLS 1.2 sau o versiune superioară) și a datelor stocate.
• Separarea datelor pe Companie și pe rol, impusă la nivelul bazei de date (control al accesului la nivel de rând); niciun acces direct din browser la tabelele sensibile; funcții sensibile executabile numai de server.
• Autentificare prin parolă sub formă hash, protecție împotriva parolelor compromise, expirarea sesiunii după 7 zile de inactivitate, verificare anti-bot la înregistrare, la autentificare și la resetarea parolei, limitarea numărului de cereri.
• Acces la fișiere prin linkuri semnate cu durată limitată; registrul documentelor partajate între Companii.
• Secrete tehnice păstrate într-un seif dedicat, niciodată în cod; acces nominal și jurnalizat al administratorilor.
• Copii de rezervă criptate, copie a fișierelor la un al doilea furnizor; procedură de restaurare.
• Jurnalizarea acțiunilor și a erorilor; alertă atunci când trimiterea unei comunicări contractuale eșuează.
• Dezvoltare cu teste automatizate, revizuire și protecții de securitate înainte de fiecare nouă versiune; audit de securitate înainte de lansare și după fiecare modificare majoră.
• Subîmputerniciți obligați printr-un acord privind prelucrarea datelor; verificarea certificărilor lor și a garanțiilor de transfer.
• Procedură de gestionare a încălcărilor: detectare, izolare, analiză, notificare (articolul 7), măsuri corective.

Anexa B — Subîmputerniciți

Listă accesibilă Clienților în Compania mea (Documente contractuale). Orice modificare urmează procedura de la articolul 5.