Personuppgiftsbiträdesavtal (DPA) — Bilaga 1 till Användarvillkoren

Version 1.0 — 3 november 2026. Detta avtal (umowa powierzenia przetwarzania danych osobowych, artikel 28 i GDPR) ingås mellan det Företag som innehar ett PolyMatch-konto (”Kunden”) och [Förnamn EFTERNAMN], [registrerad adress], Polen, NIP [NIP] (”PolyMatch”). Det godkänns tillsammans med Användarvillkoren av en person som är behörig att förplikta Kunden; en daterad kopia i Kundens namn kan laddas ner under Mitt företag.

1. Föremål och tillämpningsområde

1.1 Detta avtal reglerar PolyMatchs behandling, för Kundens räkning, av personuppgifter om tredje parter som finns i det innehåll som Kunden laddar upp eller anger på Plattformen (”Kunduppgifter”): kontaktuppgifter för dess underleverantörer, kunder eller partner, personer som nämns i dess dokument, meddelanden, projekt eller offerter.

1.2 Följande utgör inte Kunduppgifter och behandlas av PolyMatch som självständig personuppgiftsansvarig, i enlighet med Integritetspolicyn: kontona för Kundens Användare, Företagets identifierings- och listningsuppgifter, Kvaliteternas tekniska uppgifter, Projekt i deras tekniska dimension, Leads, Matchningar och rangordningar, fakturering, säkerhets- och aktivitetsloggar, samtycken. Kunden och PolyMatch är var för sig självständiga personuppgiftsansvariga för de uppgifter som utbyts mellan Företag efter en Upplåsning.

1.3 Beskrivning av behandlingen: art — lagring hos värdtjänst, förvaring, visning för Kunden och dess Användare, överföring till de Företag som Kunden sätter sig i kontakt med via Plattformen, automatisk översättning av meddelanden, säkerhetskopiering; ändamål — tillhandahållande av de tjänster som beskrivs i Villkoren; varaktighet — avtalets löptid; kategorier av registrerade — kontaktpersoner i tjänsten hos Kundens underleverantörer, kunder och partner, personer som nämns av dess Användare; kategorier av uppgifter — yrkesmässig identitet, befattning, kontaktuppgifter i tjänsten, innehåll i meddelanden och dokument; inga särskilda kategorier av uppgifter (artikel 9 i GDPR) förväntas och Kunden förbinder sig att inte ladda upp sådana.

2. Kundens instruktioner

2.1 PolyMatch behandlar Kunduppgifter endast enligt Kundens dokumenterade instruktioner. Instruktionerna utgörs av: Användarvillkoren, detta avtal och de åtgärder som Kunden och dess Användare utför på Plattformen (uppladdning, delning, sändning, radering).

2.2 Om PolyMatch anser att en instruktion strider mot GDPR eller andra dataskyddsbestämmelser informerar PolyMatch Kunden utan dröjsmål. PolyMatch får behandla Kunduppgifter utan instruktion när unionsrätten eller en medlemsstats nationella rätt kräver det; PolyMatch informerar då Kunden, om inte lagen förbjuder det.

3. Kundens skyldigheter

Kunden garanterar att den har en rättslig grund för Kunduppgifterna, att den har informerat de registrerade, att dess instruktioner är lagliga och att den begränsar Kunduppgifterna till vad som är nödvändigt. Kunden ensam besvarar förfrågningar från registrerade och myndigheter som rör Kunduppgifter, med PolyMatchs bistånd enligt artikel 6.

4. PolyMatchs skyldigheter

4.1 Konfidentialitet: personer som är behöriga att behandla Kunduppgifter är bundna av tystnadsplikt genom avtal eller lag; åtkomsten är begränsad till vad som är nödvändigt för drift och support.

4.2 Säkerhet: PolyMatch vidtar de tekniska och organisatoriska åtgärderna i Bilaga A och anpassar dem efter riskernas utveckling, utan att sänka deras övergripande nivå.

4.3 Register och samarbete: PolyMatch för ett register över de kategorier av behandling som utförs för Kundens räkning och samarbetar, på begäran, med tillsynsmyndigheten.

5. Underbiträden

5.1 Kunden lämnar ett allmänt tillstånd till anlitandet av de underbiträden som förtecknas i Bilaga B, som återger den förteckning som publiceras i Integritetspolicyn.

5.2 PolyMatch informerar Kunden via e-post om varje tillägg eller ersättning minst trettio dagar innan det får verkan. Kunden får invända skriftligen, på berättigade dataskyddsskäl, inom denna frist; om ingen överenskommelse nås får Kunden säga upp avtalet innan ändringen får verkan, utan påföljd.

5.3 PolyMatch ålägger genom avtal varje underbiträde dataskyddsskyldigheter som motsvarar PolyMatchs egna och förblir ansvarig gentemot Kunden för att de fullgörs.

6. Bistånd och de registrerades rättigheter

6.1 Med hänsyn till behandlingens art bistår PolyMatch Kunden med att besvara förfrågningar från registrerade som utövar sina rättigheter (tillgång, rättelse, radering, begränsning, dataportabilitet, invändning). Kunden har på Plattformen möjlighet att ta del av, korrigera och radera Kunduppgifter; PolyMatch ingriper på skriftlig begäran för det som Plattformen inte medger, inom tio arbetsdagar.

6.2 Om en registrerad kontaktar PolyMatch direkt angående Kunduppgifter vidarebefordrar PolyMatch begäran till Kunden utan att besvara den i sak, om inte lagen kräver det.

6.3 PolyMatch bistår Kunden, i den mån den information som PolyMatch förfogar över medger det, med att fullgöra dess skyldigheter avseende säkerhet, anmälan av personuppgiftsincidenter och konsekvensbedömning (artiklarna 32 till 36 i GDPR).

7. Personuppgiftsincidenter

PolyMatch underrättar Kunden om varje personuppgiftsincident som påverkar Kunduppgifter utan onödigt dröjsmål och senast fyrtioåtta timmar efter att ha fått kännedom om den, via e-post till Kundens Administratörer. Underrättelsen beskriver incidentens art, kategorierna av och det ungefärliga antalet berörda registrerade och poster, de sannolika följderna, de åtgärder som vidtagits eller föreslås samt kontaktpunkten; information som ännu inte är tillgänglig lämnas så snart den blir det.

8. Överföringar utanför Europeiska unionen

Kunduppgifter lagras i Europeiska unionen. Varje överföring till ett tredjeland av ett underbiträde grundar sig på ett beslut om adekvat skyddsnivå eller på Europeiska kommissionens standardavtalsklausuler, med lämpliga kompletterande åtgärder; Bilaga B anger den skyddsåtgärd som gäller för varje underbiträde.

9. Granskning

9.1 PolyMatch gör den information som är nödvändig för att visa att detta avtal efterlevs tillgänglig för Kunden: beskrivning av säkerhetsåtgärderna, förteckning över underbiträden, svar på ett skriftligt frågeformulär en gång per år.

9.2 En granskning på plats, eller en granskning av en oberoende tredje part, kan göras en gång per år, eller efter en personuppgiftsincident eller på begäran av en myndighet, med trettio dagars skriftligt varsel, under kontorstid, utan att störa verksamheten eller ge åtkomst till andra kunders uppgifter, på Kundens bekostnad. Iakttagelserna är konfidentiella.

10. Behandlingens upphörande

10.1 Vid avtalets upphörande raderar PolyMatch Kunduppgifterna inom trettio dagar, om inte en lagstadgad lagringsskyldighet gäller, i vilket fall uppgifterna förvaras isolerade tills denna skyldighet upphör. Kunden exporterar själv sina uppgifter före avtalets upphörande med hjälp av Plattformens funktioner.

10.2 Kunduppgifter som, på Kundens instruktion, redan har överlämnats till ett annat Företag genom en Upplåsning, en Offert eller dokumentdelning stannar hos det Företaget, som är personuppgiftsansvarigt för dem. Den fortsatta listningen av Kvaliteter efter avtalets upphörande (artikel 12.5 i Villkoren) avser tekniska uppgifter och företagsuppgifter, som inte utgör Kunduppgifter.

11. Ansvar och löptid

11.1 Varje parts ansvar enligt detta avtal omfattas av begränsningarna i artikel 13 i Användarvillkoren, utom där tvingande bestämmelser i GDPR föreskriver något annat.

11.2 Detta avtal gäller under avtalsförhållandets hela löptid och till dess att Kunduppgifterna har raderats. Det regleras av polsk lag; vid motstridighet med Villkoren i en fråga som rör personuppgifter har detta avtal företräde.

Bilaga A — Tekniska och organisatoriska åtgärder

• Lagring av uppgifter och filer i Europeiska unionen (Irland), hos en leverantör certifierad enligt ISO 27001 och SOC 2.
• Kryptering av kommunikationen (TLS 1.2 eller högre) och av lagrade uppgifter.
• Åtskillnad av uppgifter per Företag och per roll, som upprätthålls på databasnivå (åtkomstkontroll på radnivå); ingen direkt åtkomst från webbläsaren till känsliga tabeller; känsliga funktioner kan endast köras av servern.
• Autentisering med hashat lösenord, skydd mot komprometterade lösenord, sessionen löper ut efter 7 dagars inaktivitet, kontroll mot robotar vid registrering, inloggning och återställning av lösenord, begränsning av anropsfrekvens.
• Åtkomst till filer via tidsbegränsade signerade länkar; register över dokument som delas mellan Företag.
• Tekniska hemligheter förvaras i ett särskilt valv, aldrig i koden; namngiven och loggad administratörsåtkomst.
• Krypterade säkerhetskopior, kopia av filer hos en andra leverantör; förfarande för återställning.
• Loggning av åtgärder och fel; larm när ett avtalsrelaterat meddelande inte kan skickas.
• Utveckling med automatiserade tester, granskning och säkerhetsspärrar före varje release; säkerhetsgranskning före lansering och efter varje större ändring.
• Underbiträden bundna av ett personuppgiftsbiträdesavtal; kontroll av deras certifieringar och skyddsåtgärder vid överföring.
• Förfarande för hantering av incidenter: upptäckt, begränsning, analys, underrättelse (artikel 7), korrigerande åtgärder.

Bilaga B — Underbiträden

Förteckning tillgänglig för Kunder under Mitt företag (Avtalsdokument). Varje ändring följer förfarandet i artikel 5.