Thỏa thuận xử lý dữ liệu (DPA) — Phụ lục 1 của Điều khoản sử dụng

Phiên bản 1.0 — ngày 3 tháng 11 năm 2026. Thỏa thuận này (umowa powierzenia przetwarzania danych osobowych, Điều 28 GDPR) được giao kết giữa Công ty có tài khoản PolyMatch ("Khách hàng") và [Tên HỌ], [địa chỉ trụ sở đăng ký], Ba Lan, NIP [NIP] ("PolyMatch"). Thỏa thuận được chấp nhận cùng với Điều khoản sử dụng bởi một người được ủy quyền ràng buộc Khách hàng; một bản sao có ghi ngày mang tên Khách hàng có thể được tải xuống từ mục Công ty của tôi.

1. Đối tượng và phạm vi

1.1 Thỏa thuận này điều chỉnh việc PolyMatch xử lý, thay mặt Khách hàng, dữ liệu cá nhân của bên thứ ba có trong nội dung mà Khách hàng tải lên hoặc nhập vào Nền tảng ("Dữ liệu Khách hàng"): thông tin liên hệ của các nhà thầu phụ, khách hàng hoặc đối tác của Khách hàng, những người được nêu tên trong tài liệu, tin nhắn, dự án hoặc báo giá của Khách hàng.

1.2 Những dữ liệu sau đây không phải là Dữ liệu Khách hàng và được PolyMatch xử lý với tư cách bên kiểm soát dữ liệu độc lập, theo Chính sách quyền riêng tư: tài khoản của Người dùng của Khách hàng, dữ liệu định danh và niêm yết của Công ty, dữ liệu kỹ thuật của Grade, Dự án ở khía cạnh kỹ thuật, Lead, Kết nối và bảng xếp hạng, thanh toán, nhật ký bảo mật và nhật ký hoạt động, các sự đồng ý. Khách hàng và PolyMatch mỗi bên là bên kiểm soát dữ liệu độc lập đối với dữ liệu được trao đổi giữa các Công ty sau khi Mở khóa.

1.3 Mô tả hoạt động xử lý: tính chất — lưu trữ trên máy chủ, lưu giữ, hiển thị cho Khách hàng và Người dùng của Khách hàng, truyền cho các Công ty mà Khách hàng tự kết nối thông qua Nền tảng, dịch tự động tin nhắn, sao lưu; mục đích — cung cấp các dịch vụ được mô tả trong Điều khoản; thời hạn — thời hạn của hợp đồng; các nhóm chủ thể dữ liệu — người liên hệ công việc của các nhà thầu phụ, khách hàng và đối tác của Khách hàng, những người được Người dùng của Khách hàng đề cập; các loại dữ liệu — danh tính nghề nghiệp, chức danh, thông tin liên hệ công việc, nội dung tin nhắn và tài liệu; không dự kiến có loại dữ liệu đặc biệt nào (Điều 9 GDPR) và Khách hàng cam kết không tải lên bất kỳ dữ liệu nào thuộc loại này.

2. Chỉ thị của Khách hàng

2.1 PolyMatch chỉ xử lý Dữ liệu Khách hàng theo chỉ thị được ghi nhận bằng văn bản của Khách hàng. Các chỉ thị gồm: Điều khoản sử dụng, thỏa thuận này và các thao tác mà Khách hàng và Người dùng của Khách hàng thực hiện trong Nền tảng (tải lên, chia sẻ, gửi, xóa).

2.2 Nếu PolyMatch cho rằng một chỉ thị vi phạm GDPR hoặc các quy định khác về bảo vệ dữ liệu, PolyMatch thông báo ngay cho Khách hàng. PolyMatch có thể xử lý Dữ liệu Khách hàng mà không có chỉ thị khi pháp luật của Liên minh hoặc của Quốc gia thành viên yêu cầu; khi đó PolyMatch thông báo cho Khách hàng, trừ khi pháp luật cấm việc này.

3. Nghĩa vụ của Khách hàng

Khách hàng bảo đảm rằng mình có cơ sở pháp lý đối với Dữ liệu Khách hàng, đã thông báo cho các chủ thể dữ liệu, các chỉ thị của mình là hợp pháp và mình giới hạn Dữ liệu Khách hàng ở mức cần thiết. Chỉ riêng Khách hàng trả lời các yêu cầu của chủ thể dữ liệu và của cơ quan có thẩm quyền liên quan đến Dữ liệu Khách hàng, với sự hỗ trợ của PolyMatch theo Điều 6.

4. Nghĩa vụ của PolyMatch

4.1 Bảo mật: những người được phép xử lý Dữ liệu Khách hàng bị ràng buộc nghĩa vụ bảo mật theo hợp đồng hoặc theo luật; quyền truy cập được giới hạn ở mức cần thiết cho việc vận hành và hỗ trợ.

4.2 An ninh: PolyMatch thực hiện các biện pháp kỹ thuật và tổ chức nêu tại Phụ lục A và điều chỉnh các biện pháp đó theo diễn biến của rủi ro, mà không hạ thấp mức độ tổng thể của chúng.

4.3 Hồ sơ và hợp tác: PolyMatch lưu giữ hồ sơ về các loại hoạt động xử lý được thực hiện cho Khách hàng và hợp tác, khi được yêu cầu, với cơ quan giám sát.

5. Bên xử lý phụ

5.1 Khách hàng chấp thuận chung cho việc sử dụng các bên xử lý phụ được liệt kê tại Phụ lục B, phụ lục này sao lại danh sách được công bố trong Chính sách quyền riêng tư.

5.2 PolyMatch thông báo cho Khách hàng qua e-mail về mọi việc bổ sung hoặc thay thế ít nhất ba mươi ngày trước khi việc đó có hiệu lực. Khách hàng có thể phản đối bằng văn bản, trên cơ sở chính đáng liên quan đến bảo vệ dữ liệu, trong thời hạn đó; nếu không đạt được thỏa thuận, Khách hàng có thể chấm dứt hợp đồng trước khi thay đổi có hiệu lực, mà không bị phạt.

5.3 PolyMatch áp đặt cho mỗi bên xử lý phụ, bằng hợp đồng, các nghĩa vụ bảo vệ dữ liệu tương đương với nghĩa vụ của chính mình và vẫn chịu trách nhiệm trước Khách hàng về việc các bên xử lý phụ thực hiện các nghĩa vụ đó.

6. Hỗ trợ và quyền của chủ thể dữ liệu

6.1 Xét đến tính chất của hoạt động xử lý, PolyMatch hỗ trợ Khách hàng trả lời các yêu cầu của chủ thể dữ liệu thực hiện quyền của họ (truy cập, chỉnh sửa, xóa, hạn chế, chuyển giao, phản đối). Khách hàng có sẵn trong Nền tảng các phương tiện để tra cứu, chỉnh sửa và xóa Dữ liệu Khách hàng; PolyMatch can thiệp theo yêu cầu bằng văn bản đối với những gì Nền tảng không cho phép thực hiện, trong vòng mười ngày làm việc.

6.2 Nếu một chủ thể dữ liệu liên hệ trực tiếp với PolyMatch về Dữ liệu Khách hàng, PolyMatch chuyển yêu cầu đó cho Khách hàng mà không trả lời về nội dung, trừ khi pháp luật yêu cầu.

6.3 PolyMatch hỗ trợ Khách hàng, trong phạm vi thông tin mà PolyMatch có, tuân thủ các nghĩa vụ về an ninh, thông báo vi phạm và đánh giá tác động (Điều 32 đến 36 GDPR).

7. Vi phạm dữ liệu

PolyMatch thông báo cho Khách hàng về mọi vi phạm dữ liệu cá nhân ảnh hưởng đến Dữ liệu Khách hàng mà không chậm trễ quá mức và chậm nhất là bốn mươi tám giờ sau khi biết về vi phạm đó, qua e-mail gửi đến các Quản trị viên của Khách hàng. Thông báo mô tả tính chất của vi phạm, các nhóm và số lượng ước tính chủ thể dữ liệu và bản ghi liên quan, các hậu quả có thể xảy ra, các biện pháp đã thực hiện hoặc đề xuất, và đầu mối liên hệ; thông tin chưa có sẵn sẽ được cung cấp ngay khi có.

8. Chuyển dữ liệu ra ngoài Liên minh châu Âu

Dữ liệu Khách hàng được lưu trữ tại Liên minh châu Âu. Mọi việc chuyển dữ liệu sang một nước thứ ba bởi một bên xử lý phụ đều dựa trên một quyết định về mức độ bảo vệ tương xứng hoặc trên các điều khoản hợp đồng mẫu của Ủy ban châu Âu, kèm theo các biện pháp bổ sung thích hợp; Phụ lục B nêu biện pháp bảo đảm áp dụng cho từng bên xử lý phụ.

9. Kiểm toán

9.1 PolyMatch cung cấp cho Khách hàng các thông tin cần thiết để chứng minh việc tuân thủ thỏa thuận này: mô tả các biện pháp an ninh, danh sách các bên xử lý phụ, trả lời một bảng câu hỏi bằng văn bản mỗi năm một lần.

9.2 Việc kiểm toán tại chỗ, hoặc kiểm toán bởi một bên thứ ba độc lập, có thể được thực hiện mỗi năm một lần, hoặc sau một vi phạm dữ liệu hoặc theo yêu cầu của cơ quan có thẩm quyền, với thông báo trước bằng văn bản ba mươi ngày, trong giờ làm việc, không làm gián đoạn hoạt động và không cho phép truy cập dữ liệu của các khách hàng khác, với chi phí do Khách hàng chịu. Các phát hiện được giữ bí mật.

10. Kết thúc xử lý

10.1 Khi hợp đồng chấm dứt, PolyMatch xóa Dữ liệu Khách hàng trong vòng ba mươi ngày, trừ khi áp dụng nghĩa vụ lưu giữ theo luật, trong trường hợp đó dữ liệu được giữ tách biệt cho đến khi nghĩa vụ đó hết hiệu lực. Khách hàng tự xuất dữ liệu của mình trước khi hợp đồng chấm dứt thông qua các chức năng của Nền tảng.

10.2 Dữ liệu Khách hàng đã được truyền, theo chỉ thị của Khách hàng, cho một Công ty khác thông qua việc Mở khóa, một Báo giá hoặc việc chia sẻ tài liệu vẫn thuộc về Công ty đó, là bên kiểm soát dữ liệu này. Việc tiếp tục niêm yết các Grade sau khi chấm dứt hợp đồng (Điều 12.5 của Điều khoản) liên quan đến dữ liệu kỹ thuật và dữ liệu công ty, vốn không phải là Dữ liệu Khách hàng.

11. Trách nhiệm và thời hạn

11.1 Trách nhiệm của mỗi bên theo thỏa thuận này tuân theo các giới hạn tại Điều 13 của Điều khoản sử dụng, trừ trường hợp các quy định bắt buộc của GDPR có quy định khác.

11.2 Thỏa thuận này áp dụng trong suốt thời hạn của hợp đồng và cho đến khi Dữ liệu Khách hàng bị xóa. Thỏa thuận được điều chỉnh bởi pháp luật Ba Lan; trường hợp có mâu thuẫn với Điều khoản về một vấn đề liên quan đến dữ liệu cá nhân, thỏa thuận này được ưu tiên áp dụng.

Phụ lục A — Các biện pháp kỹ thuật và tổ chức

• Lưu trữ dữ liệu và tệp tại Liên minh châu Âu (Ireland), với một đơn vị cung cấp được chứng nhận ISO 27001 và SOC 2.
• Mã hóa thông tin truyền tải (TLS 1.2 trở lên) và dữ liệu lưu trữ.
• Phân tách dữ liệu theo từng Công ty và từng vai trò, được thực thi ở cấp cơ sở dữ liệu (kiểm soát truy cập theo từng dòng); không có quyền truy cập trực tiếp từ trình duyệt vào các bảng nhạy cảm; các hàm nhạy cảm chỉ có thể được thực thi bởi máy chủ.
• Xác thực bằng mật khẩu đã băm, bảo vệ chống mật khẩu bị lộ, phiên hết hạn sau 7 ngày không hoạt động, kiểm tra chống bot khi đăng ký, đăng nhập và đặt lại mật khẩu, giới hạn tần suất truy cập.
• Truy cập tệp thông qua các đường liên kết có chữ ký và giới hạn thời gian; sổ đăng ký các tài liệu được chia sẻ giữa các Công ty.
• Các bí mật kỹ thuật được lưu trong một kho bảo mật chuyên dụng, không bao giờ nằm trong mã nguồn; quyền truy cập của quản trị viên được định danh và ghi nhật ký.
• Bản sao lưu được mã hóa, bản sao tệp tại một đơn vị cung cấp thứ hai; quy trình khôi phục.
• Ghi nhật ký các thao tác và lỗi; cảnh báo khi một thông báo theo hợp đồng không được gửi đi.
• Phát triển với kiểm thử tự động, rà soát và các cơ chế bảo vệ an ninh trước mỗi lần phát hành; kiểm toán an ninh trước khi ra mắt và sau mỗi thay đổi lớn.
• Các bên xử lý phụ bị ràng buộc bởi thỏa thuận xử lý dữ liệu; kiểm tra các chứng nhận và biện pháp bảo đảm chuyển dữ liệu của họ.
• Quy trình quản lý vi phạm: phát hiện, ngăn chặn, phân tích, thông báo (Điều 7), biện pháp khắc phục.

Phụ lục B — Bên xử lý phụ

Danh sách có thể được Khách hàng truy cập tại mục Công ty của tôi (Tài liệu hợp đồng). Mọi thay đổi tuân theo thủ tục tại Điều 5.