Угода про обробку даних (DPA) — Додаток 1 до Умов користування

Версія 1.0 — 3 листопада 2026 року. Ця угода (umowa powierzenia przetwarzania danych osobowych, стаття 28 GDPR) укладається між Компанією, яка має обліковий запис PolyMatch («Клієнт»), і [Ім'я ПРІЗВИЩЕ], [адреса місця реєстрації], Польща, NIP [NIP] («PolyMatch»). Вона приймається разом з Умовами користування особою, уповноваженою брати зобов'язання від імені Клієнта; датований примірник на ім'я Клієнта можна завантажити в розділі «Моя компанія».

1. Предмет і сфера застосування

1.1 Ця угода регулює обробку PolyMatch від імені Клієнта персональних даних третіх осіб, що містяться в контенті, який Клієнт завантажує або вводить на Платформі («Дані Клієнта»): контактних даних його субпідрядників, клієнтів або партнерів, осіб, згаданих у його документах, повідомленнях, проєктах або пропозиціях.

1.2 Не є Даними Клієнта і обробляються PolyMatch як самостійним контролером відповідно до Політики конфіденційності: облікові записи Користувачів Клієнта, ідентифікаційні дані Компанії та дані про її розміщення на Платформі, технічні дані Марок, Проєкти в їхній технічній частині, Ліди, Збіги та ранжування, дані щодо виставлення рахунків, журнали безпеки та активності, згоди. Клієнт і PolyMatch є кожен самостійним контролером щодо даних, якими Компанії обмінюються після Розблокування.

1.3 Опис обробки: характер — хостинг, зберігання, відображення Клієнту та його Користувачам, передача Компаніям, з якими Клієнт встановлює контакт через Платформу, автоматичний переклад повідомлень, резервне копіювання; мета — надання послуг, описаних в Умовах; строк — строк дії договору; категорії суб'єктів даних — ділові контактні особи субпідрядників, клієнтів і партнерів Клієнта, особи, згадані його Користувачами; категорії даних — професійні ідентифікаційні дані, посада, робочі контактні дані, зміст повідомлень і документів; обробка спеціальних категорій даних (стаття 9 GDPR) не передбачається, і Клієнт зобов'язується не завантажувати таких даних.

2. Вказівки Клієнта

2.1 PolyMatch обробляє Дані Клієнта лише на підставі задокументованих вказівок Клієнта. Такими вказівками є: Умови користування, ця угода та дії, які Клієнт і його Користувачі вчиняють на Платформі (завантаження, надання доступу, надсилання, видалення).

2.2 Якщо PolyMatch вважає, що будь-яка вказівка порушує GDPR або інші положення про захист даних, він невідкладно інформує про це Клієнта. PolyMatch має право обробляти Дані Клієнта без вказівки, якщо цього вимагає право Союзу або держави-члена; у такому разі він інформує Клієнта, якщо тільки це не заборонено законом.

3. Обов'язки Клієнта

Клієнт гарантує, що має правову підставу щодо Даних Клієнта, що він поінформував суб'єктів даних, що його вказівки є законними і що він обмежує Дані Клієнта необхідним мінімумом. Лише Клієнт відповідає на запити суб'єктів даних і органів влади щодо Даних Клієнта за сприяння PolyMatch відповідно до статті 6.

4. Обов'язки PolyMatch

4.1 Конфіденційність: особи, уповноважені обробляти Дані Клієнта, пов'язані зобов'язанням щодо конфіденційності в силу договору або закону; доступ обмежується тим, що необхідно для експлуатації та підтримки.

4.2 Безпека: PolyMatch застосовує технічні та організаційні заходи, зазначені в Додатку A, і адаптує їх до зміни ризиків, не знижуючи їхнього загального рівня.

4.3 Реєстр і співпраця: PolyMatch веде реєстр категорій операцій з обробки, що здійснюються для Клієнта, і на запит співпрацює з наглядовим органом.

5. Субобробники

5.1 Клієнт надає загальний дозвіл на залучення субобробників, перелічених у Додатку B, який відтворює перелік, опублікований у Політиці конфіденційності.

5.2 PolyMatch повідомляє Клієнта електронною поштою про будь-яке додавання або заміну не пізніше ніж за тридцять днів до набрання зміною чинності. Протягом цього строку Клієнт може письмово заявити заперечення з обґрунтованих причин, пов'язаних із захистом даних; у разі недосягнення згоди Клієнт може розірвати договір до набрання зміною чинності без будь-яких штрафних санкцій.

5.3 PolyMatch договірним шляхом покладає на кожного субобробника зобов'язання щодо захисту даних, рівнозначні його власним, і залишається відповідальним перед Клієнтом за їх виконання.

6. Сприяння та права суб'єктів даних

6.1 З урахуванням характеру обробки PolyMatch сприяє Клієнту у відповідях на запити суб'єктів даних, які здійснюють свої права (доступ, виправлення, видалення, обмеження, переносність, заперечення). Клієнт має на Платформі засоби для перегляду, виправлення та видалення Даних Клієнта; PolyMatch втручається на письмовий запит щодо того, чого Платформа не дозволяє зробити, протягом десяти робочих днів.

6.2 Якщо суб'єкт даних звертається безпосередньо до PolyMatch щодо Даних Клієнта, PolyMatch передає запит Клієнту, не відповідаючи на нього по суті, якщо тільки цього не вимагає закон.

6.3 PolyMatch сприяє Клієнту в межах доступної йому інформації у виконанні його обов'язків щодо безпеки, повідомлення про порушення та оцінки впливу (статті 32–36 GDPR).

7. Порушення безпеки даних

PolyMatch повідомляє Клієнта про будь-яке порушення безпеки персональних даних, що зачіпає Дані Клієнта, без невиправданої затримки і не пізніше ніж через сорок вісім годин після того, як йому стало про нього відомо, електронною поштою Адміністраторам Клієнта. У повідомленні описуються характер порушення, категорії та приблизна кількість зачеплених суб'єктів даних і записів, імовірні наслідки, вжиті або запропоновані заходи, а також контактна особа; інформація, яка ще недоступна, надається, щойно вона стає доступною.

8. Передача даних за межі Європейського Союзу

Дані Клієнта розміщуються в Європейському Союзі. Будь-яка передача до третьої країни субобробником ґрунтується на рішенні про належний рівень захисту або на стандартних договірних положеннях Європейської Комісії з належними додатковими заходами; у Додатку B зазначено гарантію, застосовну до кожного субобробника.

9. Аудит

9.1 PolyMatch надає Клієнту інформацію, необхідну для підтвердження дотримання цієї угоди: опис заходів безпеки, перелік субобробників, відповіді на письмовий опитувальник один раз на рік.

9.2 Аудит на місці або аудит незалежною третьою стороною можливий один раз на рік, а також після порушення безпеки даних або на вимогу органу влади, за умови письмового повідомлення за тридцять днів, у робочий час, без порушення діяльності та без надання доступу до даних інших клієнтів, за рахунок Клієнта. Результати аудиту є конфіденційними.

10. Припинення обробки

10.1 Після закінчення дії договору PolyMatch видаляє Дані Клієнта протягом тридцяти днів, якщо тільки не діє встановлений законом обов'язок зберігання; у такому разі дані зберігаються ізольовано до закінчення строку такого обов'язку. Клієнт самостійно експортує свої дані до закінчення дії договору за допомогою функцій Платформи.

10.2 Дані Клієнта, уже передані за вказівкою Клієнта іншій Компанії внаслідок Розблокування, Пропозиції або надання доступу до документів, залишаються в цієї Компанії, яка є їхнім контролером. Подальше розміщення Марок на Платформі після закінчення дії договору (стаття 12.5 Умов) стосується технічних даних і даних про компанію, які не є Даними Клієнта.

11. Відповідальність і строк дії

11.1 Відповідальність кожної зі сторін за цією угодою підпадає під обмеження статті 13 Умов користування, за винятком випадків, коли імперативні положення GDPR передбачають інше.

11.2 Ця угода діє протягом усього строку дії договору та до видалення Даних Клієнта. Вона регулюється правом Польщі; у разі суперечності з Умовами з питання, що стосується персональних даних, переважну силу має ця угода.

Додаток A — Технічні та організаційні заходи

• Розміщення даних і файлів у Європейському Союзі (Ірландія) в постачальника послуг, сертифікованого за ISO 27001 і SOC 2.
• Шифрування переданих даних (TLS 1.2 або вище) і збережених даних.
• Розмежування даних за Компанією та за роллю, що забезпечується на рівні бази даних (контроль доступу на рівні рядків); відсутність прямого доступу з браузера до чутливих таблиць; чутливі функції можуть виконуватися лише сервером.
• Автентифікація за гешованим паролем, захист від скомпрометованих паролів, завершення сеансу після 7 днів неактивності, перевірка на ботів під час реєстрації, входу та скидання пароля, обмеження частоти запитів.
• Доступ до файлів за підписаними посиланнями з обмеженим строком дії; реєстр документів, наданих Компаніями одна одній.
• Технічні секрети зберігаються в спеціальному сховищі і ніколи в програмному коді; іменний і журнальований доступ адміністраторів.
• Зашифровані резервні копії, копіювання файлів у другого постачальника послуг; процедура відновлення.
• Журналювання дій і помилок; сповіщення в разі невдалого надсилання договірного повідомлення.
• Розроблення з автоматизованим тестуванням, перевіркою коду та захисними механізмами безпеки перед кожним випуском; аудит безпеки перед запуском і після кожної істотної зміни.
• Субобробники пов'язані угодою про обробку даних; перевірка їхніх сертифікатів і гарантій під час передачі даних.
• Процедура управління порушеннями: виявлення, локалізація, аналіз, повідомлення (стаття 7), коригувальні заходи.

Додаток B — Субобробники

Перелік доступний Клієнтам у розділі «Моя компанія» (Договірні документи). Будь-яка зміна здійснюється в порядку, передбаченому статтею 5.