Pogodba o obdelavi podatkov (DPA) — Priloga 1 k Pogojem uporabe

Različica 1.0 — 3. novembra 2026. Ta pogodba (umowa powierzenia przetwarzania danych osobowych, člen 28 GDPR) je sklenjena med Podjetjem, ki ima račun PolyMatch (»Stranka«), in [Ime PRIIMEK], [naslov sedeža], Poljska, NIP [NIP] (»PolyMatch«). Sprejme jo skupaj s Pogoji uporabe oseba, pooblaščena, da zavezuje Stranko; datiran izvod na ime Stranke je mogoče prenesti v razdelku Moje podjetje.

1. Predmet in področje uporabe

1.1 Ta pogodba ureja obdelavo osebnih podatkov tretjih oseb, ki jo PolyMatch v imenu Stranke izvaja nad podatki v vsebini, ki jo Stranka naloži ali vnese na Platformo (»Podatki Stranke«): kontaktni podatki njenih podizvajalcev, strank ali partnerjev, osebe, imenovane v njenih dokumentih, sporočilih, projektih ali ponudbah.

1.2 Podatki Stranke niso naslednji podatki, ki jih PolyMatch obdeluje kot samostojni upravljavec v skladu s Politiko zasebnosti: računi Uporabnikov Stranke, identifikacijski podatki in podatki o uvrstitvi Podjetja na seznam, tehnični podatki Gradov, Projekti v njihovi tehnični razsežnosti, Povpraševanja, Ujemanja in razvrstitve, obračun, varnostni dnevniki in dnevniki dejavnosti, privolitve. Stranka in PolyMatch sta vsak zase samostojna upravljavca podatkov, ki si jih Podjetja izmenjajo po Odklenitvi.

1.3 Opis obdelave: narava — gostovanje, shranjevanje, prikaz Stranki in njenim Uporabnikom, posredovanje Podjetjem, s katerimi Stranka prek Platforme vzpostavi stik, samodejno prevajanje sporočil, varnostno kopiranje; namen — zagotavljanje storitev, opisanih v Pogojih; trajanje — trajanje pogodbe; kategorije posameznikov, na katere se nanašajo osebni podatki — poslovni kontakti podizvajalcev, strank in partnerjev Stranke, osebe, ki jih omenjajo njeni Uporabniki; kategorije podatkov — poklicna identiteta, funkcija, službeni kontaktni podatki, vsebina sporočil in dokumentov; posebne vrste podatkov (člen 9 GDPR) niso predvidene, Stranka pa se zavezuje, da jih ne bo nalagala.

2. Navodila Stranke

2.1 PolyMatch obdeluje Podatke Stranke samo po dokumentiranih navodilih Stranke. Navodila so: Pogoji uporabe, ta pogodba in dejanja, ki jih Stranka in njeni Uporabniki izvedejo na Platformi (nalaganje, deljenje, pošiljanje, brisanje).

2.2 Če PolyMatch meni, da navodilo krši GDPR ali druge določbe o varstvu podatkov, o tem nemudoma obvesti Stranko. PolyMatch lahko Podatke Stranke obdeluje brez navodila, kadar to zahteva pravo Unije ali države članice; v tem primeru o tem obvesti Stranko, razen če zakon to prepoveduje.

3. Obveznosti Stranke

Stranka jamči, da ima pravno podlago za Podatke Stranke, da je obvestila posameznike, na katere se podatki nanašajo, da so njena navodila zakonita in da Podatke Stranke omejuje na nujno potrebne. Sama odgovarja na zahteve posameznikov, na katere se podatki nanašajo, in organov v zvezi s Podatki Stranke, s pomočjo PolyMatch v skladu s členom 6.

4. Obveznosti PolyMatch

4.1 Zaupnost: osebe, pooblaščene za obdelavo Podatkov Stranke, so pogodbeno ali zakonsko zavezane k zaupnosti; dostop je omejen na tisto, kar je potrebno za delovanje in podporo.

4.2 Varnost: PolyMatch izvaja tehnične in organizacijske ukrepe iz Priloge A in jih prilagaja razvoju tveganj, ne da bi zniževal njihovo splošno raven.

4.3 Evidence in sodelovanje: PolyMatch vodi evidenco kategorij dejavnosti obdelave, ki jih izvaja za Stranko, in na zahtevo sodeluje z nadzornim organom.

5. Podobdelovalci

5.1 Stranka daje splošno dovoljenje za uporabo podobdelovalcev, navedenih v Prilogi B, ki povzema seznam, objavljen v Politiki zasebnosti.

5.2 PolyMatch Stranko po e-pošti obvesti o vsakem dodajanju ali zamenjavi najmanj trideset dni pred začetkom njegove veljavnosti. Stranka lahko v tem roku pisno ugovarja iz upravičenih razlogov, povezanih z varstvom podatkov; če dogovor ni dosežen, lahko Stranka pogodbo odpove pred začetkom veljavnosti spremembe, brez pogodbene kazni.

5.3 PolyMatch vsakemu podobdelovalcu s pogodbo naloži obveznosti varstva podatkov, enakovredne svojim, in Stranki ostaja odgovoren za njihovo izpolnjevanje.

6. Pomoč in pravice posameznikov, na katere se nanašajo osebni podatki

6.1 Ob upoštevanju narave obdelave PolyMatch pomaga Stranki pri odgovarjanju na zahteve posameznikov, na katere se nanašajo osebni podatki, ki uveljavljajo svoje pravice (dostop, popravek, izbris, omejitev, prenosljivost, ugovor). Stranka ima na Platformi na voljo sredstva za vpogled v Podatke Stranke ter za njihov popravek in izbris; PolyMatch na pisno zahtevo v desetih delovnih dneh posreduje pri tistem, česar Platforma ne omogoča.

6.2 Če se posameznik, na katerega se nanašajo osebni podatki, v zvezi s Podatki Stranke obrne neposredno na PolyMatch, PolyMatch zahtevo posreduje Stranki, ne da bi nanjo vsebinsko odgovoril, razen če to zahteva zakon.

6.3 PolyMatch v obsegu informacij, ki so mu na voljo, pomaga Stranki pri izpolnjevanju njenih obveznosti glede varnosti, uradnega obveščanja o kršitvah in ocene učinka (členi 32 do 36 GDPR).

7. Kršitve varnosti podatkov

PolyMatch Stranko o vsaki kršitvi varnosti osebnih podatkov, ki zadeva Podatke Stranke, obvesti brez nepotrebnega odlašanja in najpozneje v oseminštiridesetih urah po tem, ko se z njo seznani, po e-pošti Skrbnikom Stranke. Obvestilo opisuje naravo kršitve, kategorije in približno število zadevnih posameznikov in zapisov, verjetne posledice, sprejete ali predlagane ukrepe ter kontaktno točko; informacije, ki še niso na voljo, se posredujejo takoj, ko so na voljo.

8. Prenosi zunaj Evropske unije

Podatki Stranke gostujejo v Evropski uniji. Vsak prenos v tretjo državo s strani podobdelovalca temelji na sklepu o ustreznosti ali na standardnih pogodbenih klavzulah Evropske komisije z ustreznimi dopolnilnimi ukrepi; Priloga B za vsakega podobdelovalca navaja veljavno jamstvo.

9. Revizija

9.1 PolyMatch Stranki da na voljo informacije, potrebne za dokazovanje skladnosti s to pogodbo: opis varnostnih ukrepov, seznam podobdelovalcev, odgovore na pisni vprašalnik enkrat letno.

9.2 Revizija na kraju samem ali revizija, ki jo opravi neodvisna tretja oseba, je mogoča enkrat letno ali po kršitvi varnosti podatkov ali na zahtevo organa, s pisnim obvestilom trideset dni vnaprej, v delovnem času, brez motenja delovanja in brez dostopa do podatkov drugih strank, na stroške Stranke. Ugotovitve so zaupne.

10. Konec obdelave

10.1 Ob prenehanju pogodbe PolyMatch izbriše Podatke Stranke v tridesetih dneh, razen če velja zakonska obveznost hrambe; v tem primeru se podatki hranijo ločeno, dokler ta obveznost ne preneha. Stranka svoje podatke pred prenehanjem pogodbe sama izvozi s funkcijami Platforme.

10.2 Podatki Stranke, ki so bili po navodilu Stranke že posredovani drugemu Podjetju z Odklenitvijo, Ponudbo ali deljenjem dokumentov, ostanejo pri tem Podjetju, ki je njihov upravljavec. Nadaljnja uvrstitev Gradov na seznamu po prenehanju pogodbe (člen 12.5 Pogojev) se nanaša na tehnične podatke in podatke o podjetju, ki niso Podatki Stranke.

11. Odgovornost in trajanje

11.1 Za odgovornost vsake stranke po tej pogodbi veljajo omejitve iz člena 13 Pogojev uporabe, razen če prisilne določbe GDPR določajo drugače.

11.2 Ta pogodba velja ves čas trajanja pogodbe in do izbrisa Podatkov Stranke. Zanjo se uporablja poljsko pravo; v primeru nasprotja s Pogoji glede vprašanja, povezanega z osebnimi podatki, prevlada ta pogodba.

Priloga A — Tehnični in organizacijski ukrepi

• Gostovanje podatkov in datotek v Evropski uniji (Irska) pri ponudniku s certifikatoma ISO 27001 in SOC 2.
• Šifriranje komunikacij (TLS 1.2 ali novejši) in mirujočih podatkov.
• Ločevanje podatkov po Podjetju in po vlogi, uveljavljeno na ravni baze podatkov (nadzor dostopa na ravni vrstic); brez neposrednega dostopa brskalnika do občutljivih tabel; občutljive funkcije lahko izvaja samo strežnik.
• Avtentikacija z zgoščenim geslom, zaščita pred ogroženimi gesli, potek seje po 7 dneh nedejavnosti, preverjanje proti robotom ob registraciji, prijavi in ponastavitvi gesla, omejevanje števila zahtev.
• Dostop do datotek prek časovno omejenih podpisanih povezav; evidenca dokumentov, deljenih med Podjetji.
• Tehnične skrivnosti, shranjene v namenskem trezorju, nikoli v kodi; poimenski in beleženi skrbniški dostopi.
• Šifrirane varnostne kopije, kopija datotek pri drugem ponudniku; postopek obnove.
• Beleženje dejanj in napak; opozorilo, kadar pogodbenega sporočila ni mogoče poslati.
• Razvoj z avtomatiziranimi preskusi, pregledom in varnostnimi varovali pred vsako izdajo; varnostna revizija pred zagonom in po vsaki večji spremembi.
• Podobdelovalci, zavezani s pogodbo o obdelavi podatkov; preverjanje njihovih certifikatov in jamstev za prenos.
• Postopek upravljanja kršitev: odkrivanje, zajezitev, analiza, obveščanje (člen 7), korektivni ukrepi.

Priloga B — Podobdelovalci

Seznam je Strankam dostopen v razdelku Moje podjetje (Pogodbeni dokumenti). Za vsako spremembo velja postopek iz člena 5.