ข้อตกลงการประมวลผลข้อมูล (DPA) — ภาคผนวก 1 ของข้อกำหนดการใช้งาน

ฉบับที่ 1.0 — 3 พฤศจิกายน 2026 ข้อตกลงนี้ (umowa powierzenia przetwarzania danych osobowych มาตรา 28 ของ GDPR) ทำขึ้นระหว่างบริษัทที่มีบัญชี PolyMatch ("ลูกค้า") กับ [ชื่อ นามสกุล] [ที่อยู่สำนักงานที่จดทะเบียน] ประเทศโปแลนด์ NIP [NIP] ("PolyMatch") ข้อตกลงนี้ได้รับการยอมรับพร้อมกับข้อกำหนดการใช้งานโดยบุคคลที่มีอำนาจผูกพันลูกค้า สำเนาที่ลงวันที่ในนามของลูกค้าสามารถดาวน์โหลดได้จากบริษัทของฉัน

1. วัตถุแห่งข้อตกลงและขอบเขต

1.1 ข้อตกลงนี้กำกับการประมวลผลโดย PolyMatch ในนามของลูกค้า ซึ่งข้อมูลส่วนบุคคลของบุคคลภายนอกที่อยู่ในเนื้อหาที่ลูกค้าอัปโหลดหรือป้อนบนแพลตฟอร์ม ("ข้อมูลของลูกค้า"): ข้อมูลติดต่อของผู้รับจ้างช่วง ลูกค้า หรือคู่ค้าของลูกค้า บุคคลที่ระบุชื่อในเอกสาร ข้อความ โครงการ หรือข้อเสนอของลูกค้า

1.2 ข้อมูลต่อไปนี้ไม่ใช่ข้อมูลของลูกค้า และ PolyMatch ประมวลผลในฐานะผู้ควบคุมข้อมูลอิสระตามนโยบายความเป็นส่วนตัว: บัญชีของผู้ใช้ของลูกค้า ข้อมูลระบุตัวตนและข้อมูลการแสดงในรายชื่อของบริษัท ข้อมูลทางเทคนิคของเกรด โครงการในมิติทางเทคนิค ลีด การจับคู่และการจัดอันดับ การเรียกเก็บเงิน บันทึกด้านความปลอดภัยและบันทึกกิจกรรม ความยินยอม ลูกค้าและ PolyMatch ต่างเป็นผู้ควบคุมข้อมูลอิสระของข้อมูลที่แลกเปลี่ยนระหว่างบริษัทหลังการปลดล็อก

1.3 คำอธิบายการประมวลผล: ลักษณะ — การโฮสต์ การจัดเก็บ การแสดงต่อลูกค้าและผู้ใช้ของลูกค้า การส่งต่อไปยังบริษัทที่ลูกค้าติดต่อผ่านแพลตฟอร์ม การแปลข้อความอัตโนมัติ การสำรองข้อมูล วัตถุประสงค์ — การให้บริการตามที่อธิบายไว้ในข้อกำหนด ระยะเวลา — ระยะเวลาของสัญญา ประเภทของเจ้าของข้อมูล — ผู้ติดต่อทางธุรกิจของผู้รับจ้างช่วง ลูกค้า และคู่ค้าของลูกค้า บุคคลที่ผู้ใช้ของลูกค้ากล่าวถึง ประเภทของข้อมูล — ตัวตนทางวิชาชีพ ตำแหน่ง ข้อมูลติดต่อทางธุรกิจ เนื้อหาของข้อความและเอกสาร ไม่คาดว่าจะมีข้อมูลประเภทพิเศษ (มาตรา 9 ของ GDPR) และลูกค้าตกลงว่าจะไม่อัปโหลดข้อมูลดังกล่าว

2. คำสั่งของลูกค้า

2.1 PolyMatch ประมวลผลข้อมูลของลูกค้าตามคำสั่งที่เป็นลายลักษณ์อักษรของลูกค้าเท่านั้น คำสั่งดังกล่าวได้แก่ ข้อกำหนดการใช้งาน ข้อตกลงนี้ และการดำเนินการที่ลูกค้าและผู้ใช้ของลูกค้าทำในแพลตฟอร์ม (การอัปโหลด การแบ่งปัน การส่ง การลบ)

2.2 หาก PolyMatch เห็นว่าคำสั่งใดละเมิด GDPR หรือบทบัญญัติอื่นว่าด้วยการคุ้มครองข้อมูล PolyMatch จะแจ้งให้ลูกค้าทราบโดยไม่ชักช้า PolyMatch อาจประมวลผลข้อมูลของลูกค้าโดยไม่มีคำสั่งได้ในกรณีที่กฎหมายของสหภาพหรือของรัฐสมาชิกกำหนด ในกรณีนั้น PolyMatch จะแจ้งให้ลูกค้าทราบ เว้นแต่กฎหมายห้ามไว้

3. หน้าที่ของลูกค้า

ลูกค้ารับรองว่าลูกค้ามีฐานทางกฎหมายสำหรับข้อมูลของลูกค้า ได้แจ้งให้เจ้าของข้อมูลทราบแล้ว คำสั่งของลูกค้าชอบด้วยกฎหมาย และลูกค้าจำกัดข้อมูลของลูกค้าไว้เท่าที่จำเป็น ลูกค้าแต่ผู้เดียวเป็นผู้ตอบคำขอของเจ้าของข้อมูลและหน่วยงานของรัฐที่เกี่ยวกับข้อมูลของลูกค้า โดยได้รับความช่วยเหลือจาก PolyMatch ตามข้อ 6

4. หน้าที่ของ PolyMatch

4.1 การรักษาความลับ: บุคคลที่ได้รับอนุญาตให้ประมวลผลข้อมูลของลูกค้ามีหน้าที่รักษาความลับตามสัญญาหรือตามกฎหมาย การเข้าถึงจำกัดไว้เท่าที่จำเป็นต่อการดำเนินงานและการสนับสนุน

4.2 ความปลอดภัย: PolyMatch ใช้มาตรการทางเทคนิคและเชิงองค์กรตามภาคผนวก A และปรับมาตรการดังกล่าวให้สอดคล้องกับความเสี่ยงที่เปลี่ยนแปลงไป โดยไม่ลดระดับโดยรวมของมาตรการ

4.3 บันทึกและความร่วมมือ: PolyMatch จัดทำบันทึกประเภทของกิจกรรมการประมวลผลที่ดำเนินการให้แก่ลูกค้า และให้ความร่วมมือกับหน่วยงานกำกับดูแลเมื่อได้รับการร้องขอ

5. ผู้ประมวลผลข้อมูลช่วง

5.1 ลูกค้าให้ความยินยอมโดยทั่วไปในการใช้ผู้ประมวลผลข้อมูลช่วงที่ระบุไว้ในภาคผนวก B ซึ่งทำซ้ำรายชื่อที่เผยแพร่ในนโยบายความเป็นส่วนตัว

5.2 PolyMatch จะแจ้งให้ลูกค้าทราบทางอีเมลถึงการเพิ่มหรือการเปลี่ยนตัวผู้ประมวลผลข้อมูลช่วงใด ๆ ล่วงหน้าอย่างน้อยสามสิบวันก่อนมีผลใช้บังคับ ลูกค้าอาจคัดค้านเป็นลายลักษณ์อักษรด้วยเหตุผลอันชอบธรรมด้านการคุ้มครองข้อมูลภายในระยะเวลาดังกล่าว หากไม่สามารถตกลงกันได้ ลูกค้าอาจบอกเลิกสัญญาก่อนที่การเปลี่ยนแปลงจะมีผลใช้บังคับโดยไม่มีค่าปรับ

5.3 PolyMatch กำหนดให้ผู้ประมวลผลข้อมูลช่วงแต่ละรายมีหน้าที่คุ้มครองข้อมูลตามสัญญาเทียบเท่ากับหน้าที่ของ PolyMatch เอง และยังคงต้องรับผิดต่อลูกค้าในการปฏิบัติหน้าที่ของผู้ประมวลผลข้อมูลช่วงเหล่านั้น

6. ความช่วยเหลือและสิทธิของเจ้าของข้อมูล

6.1 โดยคำนึงถึงลักษณะของการประมวลผล PolyMatch ให้ความช่วยเหลือลูกค้าในการตอบคำขอของเจ้าของข้อมูลที่ใช้สิทธิของตน (การเข้าถึง การแก้ไขให้ถูกต้อง การลบ การจำกัด การโอนย้าย การคัดค้าน) ลูกค้ามีเครื่องมือภายในแพลตฟอร์มในการดู แก้ไข และลบข้อมูลของลูกค้า PolyMatch จะดำเนินการตามคำขอเป็นลายลักษณ์อักษรสำหรับสิ่งที่แพลตฟอร์มไม่รองรับ ภายในสิบวันทำการ

6.2 หากเจ้าของข้อมูลติดต่อ PolyMatch โดยตรงเกี่ยวกับข้อมูลของลูกค้า PolyMatch จะส่งต่อคำขอไปยังลูกค้าโดยไม่ตอบในเนื้อหาของคำขอ เว้นแต่กฎหมายกำหนด

6.3 PolyMatch ให้ความช่วยเหลือลูกค้าเท่าที่ข้อมูลที่ PolyMatch มีอยู่จะเอื้ออำนวย ในการปฏิบัติตามหน้าที่เกี่ยวกับความปลอดภัย การแจ้งเหตุละเมิด และการประเมินผลกระทบ (มาตรา 32 ถึง 36 ของ GDPR)

7. การละเมิดข้อมูล

PolyMatch จะแจ้งให้ลูกค้าทราบถึงการละเมิดข้อมูลส่วนบุคคลใด ๆ ที่กระทบต่อข้อมูลของลูกค้าโดยไม่ชักช้าเกินสมควร และอย่างช้าภายในสี่สิบแปดชั่วโมงนับแต่ทราบเหตุ ทางอีเมลถึงผู้ดูแลระบบของลูกค้า การแจ้งดังกล่าวจะระบุลักษณะของการละเมิด ประเภทและจำนวนโดยประมาณของเจ้าของข้อมูลและรายการข้อมูลที่เกี่ยวข้อง ผลที่น่าจะเกิดขึ้น มาตรการที่ได้ดำเนินการหรือเสนอให้ดำเนินการ และจุดติดต่อ ข้อมูลที่ยังไม่มีจะจัดส่งให้ทันทีที่มี

8. การโอนข้อมูลออกนอกสหภาพยุโรป

ข้อมูลของลูกค้าจัดเก็บในสหภาพยุโรป การโอนข้อมูลใด ๆ ไปยังประเทศที่สามโดยผู้ประมวลผลข้อมูลช่วงจะอาศัยคำวินิจฉัยว่ามีมาตรฐานการคุ้มครองที่เพียงพอ หรือข้อสัญญามาตรฐานของคณะกรรมาธิการยุโรป พร้อมมาตรการเสริมที่เหมาะสม ภาคผนวก B ระบุมาตรการคุ้มครองที่ใช้บังคับกับผู้ประมวลผลข้อมูลช่วงแต่ละราย

9. การตรวจสอบ

9.1 PolyMatch จัดให้ลูกค้าได้รับข้อมูลที่จำเป็นในการแสดงให้เห็นถึงการปฏิบัติตามข้อตกลงนี้ ได้แก่ คำอธิบายมาตรการรักษาความปลอดภัย รายชื่อผู้ประมวลผลข้อมูลช่วง และคำตอบต่อแบบสอบถามที่เป็นลายลักษณ์อักษรปีละหนึ่งครั้ง

9.2 การตรวจสอบ ณ สถานที่ หรือการตรวจสอบโดยบุคคลภายนอกที่เป็นอิสระ สามารถกระทำได้ปีละหนึ่งครั้ง หรือภายหลังเหตุละเมิดข้อมูล หรือตามคำร้องขอของหน่วยงานของรัฐ โดยแจ้งเป็นลายลักษณ์อักษรล่วงหน้าสามสิบวัน ในเวลาทำการ โดยไม่รบกวนการดำเนินงานหรือเปิดให้เข้าถึงข้อมูลของลูกค้ารายอื่น และลูกค้าเป็นผู้รับผิดชอบค่าใช้จ่าย ผลการตรวจสอบถือเป็นความลับ

10. การสิ้นสุดการประมวลผล

10.1 เมื่อสิ้นสุดสัญญา PolyMatch จะลบข้อมูลของลูกค้าภายในสามสิบวัน เว้นแต่มีหน้าที่ตามกฎหมายในการเก็บรักษา ซึ่งในกรณีนั้นข้อมูลจะถูกเก็บแยกไว้จนกว่าหน้าที่ดังกล่าวจะสิ้นสุดลง ลูกค้าส่งออกข้อมูลของตนด้วยตนเองก่อนสิ้นสุดสัญญาผ่านฟังก์ชันของแพลตฟอร์ม

10.2 ข้อมูลของลูกค้าที่ได้ส่งต่อไปแล้วตามคำสั่งของลูกค้าไปยังบริษัทอื่นผ่านการปลดล็อก ข้อเสนอ หรือการแบ่งปันเอกสาร จะคงอยู่กับบริษัทนั้น ซึ่งเป็นผู้ควบคุมข้อมูลดังกล่าว การแสดงเกรดในรายชื่อต่อไปหลังสิ้นสุดสัญญา (ข้อ 12.5 ของข้อกำหนด) เกี่ยวข้องกับข้อมูลทางเทคนิคและข้อมูลบริษัท ซึ่งไม่ใช่ข้อมูลของลูกค้า

11. ความรับผิดและระยะเวลา

11.1 ความรับผิดของแต่ละฝ่ายตามข้อตกลงนี้อยู่ภายใต้ข้อจำกัดตามข้อ 13 ของข้อกำหนดการใช้งาน เว้นแต่บทบัญญัติที่มีผลบังคับของ GDPR จะกำหนดไว้เป็นอย่างอื่น

11.2 ข้อตกลงนี้ใช้บังคับตลอดระยะเวลาของสัญญาและจนกว่าข้อมูลของลูกค้าจะถูกลบ ข้อตกลงนี้อยู่ภายใต้บังคับแห่งกฎหมายโปแลนด์ ในกรณีที่ขัดแย้งกับข้อกำหนดในเรื่องที่เกี่ยวกับข้อมูลส่วนบุคคล ให้ข้อตกลงนี้มีผลเหนือกว่า

ภาคผนวก A — มาตรการทางเทคนิคและเชิงองค์กร

• การจัดเก็บข้อมูลและไฟล์ในสหภาพยุโรป (ไอร์แลนด์) กับผู้ให้บริการที่ได้รับการรับรอง ISO 27001 และ SOC 2
• การเข้ารหัสการสื่อสาร (TLS 1.2 หรือสูงกว่า) และการเข้ารหัสข้อมูลที่จัดเก็บไว้
• การแยกข้อมูลตามบริษัทและตามบทบาท ซึ่งบังคับใช้ในระดับฐานข้อมูล (การควบคุมการเข้าถึงระดับแถว) ไม่มีการเข้าถึงตารางที่มีความอ่อนไหวจากเบราว์เซอร์โดยตรง ฟังก์ชันที่มีความอ่อนไหวเรียกใช้ได้โดยเซิร์ฟเวอร์เท่านั้น
• การยืนยันตัวตนด้วยรหัสผ่านแบบแฮช การป้องกันรหัสผ่านที่รั่วไหล การหมดอายุของเซสชันหลังไม่มีการใช้งาน 7 วัน การตรวจสอบป้องกันบอตเมื่อลงทะเบียน เข้าสู่ระบบ และรีเซ็ตรหัสผ่าน การจำกัดอัตราการเรียกใช้
• การเข้าถึงไฟล์ผ่านลิงก์ที่ลงนามซึ่งมีอายุจำกัด ทะเบียนเอกสารที่แบ่งปันระหว่างบริษัท
• ความลับทางเทคนิคเก็บรักษาไว้ในคลังเก็บความลับเฉพาะ ไม่อยู่ในโค้ดในทุกกรณี การเข้าถึงของผู้ดูแลระบบที่ระบุชื่อและมีการบันทึก
• การสำรองข้อมูลที่เข้ารหัส สำเนาไฟล์กับผู้ให้บริการรายที่สอง ขั้นตอนการกู้คืน
• การบันทึกการดำเนินการและข้อผิดพลาด การแจ้งเตือนเมื่อการสื่อสารตามสัญญาส่งไม่สำเร็จ
• การพัฒนาด้วยการทดสอบอัตโนมัติ การทบทวน และกลไกป้องกันด้านความปลอดภัยก่อนการเผยแพร่แต่ละครั้ง การตรวจสอบความปลอดภัยก่อนเปิดตัวและหลังการเปลี่ยนแปลงสำคัญแต่ละครั้ง
• ผู้ประมวลผลข้อมูลช่วงผูกพันตามข้อตกลงการประมวลผลข้อมูล การตรวจสอบใบรับรองและมาตรการคุ้มครองการโอนข้อมูลของผู้ประมวลผลข้อมูลช่วง
• ขั้นตอนการจัดการเหตุละเมิด: การตรวจจับ การควบคุม การวิเคราะห์ การแจ้ง (ข้อ 7) มาตรการแก้ไข

ภาคผนวก B — ผู้ประมวลผลข้อมูลช่วง

รายชื่อที่ลูกค้าสามารถเข้าถึงได้ในบริษัทของฉัน (เอกสารสัญญา) การเปลี่ยนแปลงใด ๆ เป็นไปตามขั้นตอนของข้อ 5