数据处理协议（DPA）— 使用条款附件1

版本1.0 — 2026年11月3日。本协议（umowa powierzenia przetwarzania danych osobowych，GDPR第28条）由持有PolyMatch账户的企业（以下简称“客户”）与[姓名]，[注册地址]，波兰，NIP [NIP]（以下简称“PolyMatch”）订立。本协议由获授权约束客户的人员与使用条款一并接受；以客户名义出具并注明日期的副本可在“我的公司”中下载。

1. 标的及范围

1.1 本协议规范PolyMatch代表客户处理客户在平台上上传或输入的内容中所含第三方个人数据（以下简称“客户数据”）的活动：其分包商、顾客或合作伙伴的联系方式，以及其文件、消息、项目或报价中提及的人员。

1.2 以下数据不属于客户数据，由PolyMatch作为独立控制者依据隐私政策进行处理：客户用户的账户、企业的识别和收录数据、牌号的技术数据、技术层面的项目、线索、匹配和排序、账单、安全和活动日志、各项同意。对于解锁后在企业之间交换的数据，客户和PolyMatch各自为独立控制者。

1.3 处理说明：性质 — 托管、存储、向客户及其用户展示、向客户通过平台与之建立联系的企业传送、消息自动翻译、备份；目的 — 提供条款所述的服务；期限 — 合同期限；数据主体类别 — 客户的分包商、顾客和合作伙伴的业务联系人，以及其用户提及的人员；数据类别 — 职业身份、职务、工作联系方式、消息和文件的内容；预计不涉及特殊类别数据（GDPR第9条），客户承诺不上传任何此类数据。

2. 客户的指示

2.1 PolyMatch仅根据客户有记录的指示处理客户数据。指示包括：使用条款、本协议，以及客户及其用户在平台中执行的操作（上传、共享、发送、删除）。

2.2 如PolyMatch认为某项指示违反GDPR或其他数据保护规定，应毫不迟延地通知客户。在欧盟或成员国法律有要求时，PolyMatch可在无指示的情况下处理客户数据；在此情况下，除非法律禁止，PolyMatch应通知客户。

3. 客户的义务

客户保证其对客户数据具有法律依据，已告知数据主体，其指示合法，并将客户数据限制在必要范围内。仅由客户答复数据主体和主管机关就客户数据提出的请求，PolyMatch依据第6条提供协助。

4. PolyMatch的义务

4.1 保密：获授权处理客户数据的人员依合同或法律负有保密义务；访问权限仅限于运营和支持所必需的范围。

4.2 安全：PolyMatch实施附件A所列的技术和组织措施，并根据风险的演变对其进行调整，但不降低其总体水平。

4.3 记录与合作：PolyMatch保存为客户开展的处理活动类别的记录，并应要求与监管机构合作。

5. 次级处理者

5.1 客户对使用附件B所列次级处理者给予一般授权，附件B转载了隐私政策中公布的清单。

5.2 任何次级处理者的增加或更换，PolyMatch应至少在其生效前三十天通过电子邮件通知客户。客户可在该期限内基于正当的数据保护理由以书面形式提出异议；未能达成一致的，客户可在变更生效前终止合同，且无需承担违约责任。

5.3 PolyMatch通过合同对每一次级处理者施加与其自身义务同等的数据保护义务，并就其履行仍对客户承担责任。

6. 协助及数据主体权利

6.1 考虑到处理的性质，PolyMatch协助客户答复数据主体行使其权利（访问、更正、删除、限制、可携带、异议）的请求。客户可在平台内查阅、更正和删除客户数据；对于平台无法实现的事项，PolyMatch应书面请求在十个工作日内予以处理。

6.2 如数据主体就客户数据直接联系PolyMatch，除法律另有要求外，PolyMatch将该请求转交客户，而不就实质问题作出答复。

6.3 PolyMatch在其可获得信息的范围内，协助客户履行其在安全、违规通知及影响评估方面的义务（GDPR第32条至第36条）。

7. 数据泄露

PolyMatch应在知悉影响客户数据的任何个人数据泄露后，毫不无故迟延地，且最迟在知悉后四十八小时内，通过电子邮件通知客户的管理员。通知应说明泄露的性质、所涉数据主体和记录的类别及大致数量、可能的后果、已采取或拟采取的措施以及联络点；尚无法获得的信息应在获得后立即提供。

8. 向欧盟以外地区的传输

客户数据托管于欧盟境内。次级处理者向第三国进行的任何传输均以充分性认定或欧盟委员会的标准合同条款为依据，并辅以适当的补充措施；附件B列明适用于每一次级处理者的保障措施。

9. 审计

9.1 PolyMatch向客户提供证明其遵守本协议所需的信息：安全措施说明、次级处理者清单，以及每年一次对书面问卷的答复。

9.2 现场审计或由独立第三方进行的审计每年可进行一次，或在发生数据泄露后或应主管机关要求时进行，须提前三十天书面通知，在工作时间内进行，不得干扰运营，不得接触其他客户的数据，费用由客户承担。审计结果予以保密。

10. 处理的终止

10.1 合同终止时，PolyMatch应在三十天内删除客户数据，但适用法定保存义务的除外，在此情况下，数据将被隔离保存直至该义务届满。客户应在合同终止前通过平台功能自行导出其数据。

10.2 根据客户指示，已通过解锁、报价或文件共享传送给另一企业的客户数据仍保留在该企业处，由该企业作为其控制者。合同终止后牌号的继续收录（条款第12.5条）涉及技术数据和企业数据，该等数据不属于客户数据。

11. 责任及期限

11.1 各方在本协议项下的责任受使用条款第13条所规定限制的约束，但GDPR强制性规定另有规定的除外。

11.2 本协议在合同整个期限内适用，并持续至客户数据被删除为止。本协议受波兰法律管辖；就涉及个人数据的事项与条款发生冲突时，以本协议为准。

附件A — 技术和组织措施

• 数据和文件托管于欧盟（爱尔兰），服务提供商已获得ISO 27001和SOC 2认证。
• 通信加密（TLS 1.2或更高版本）及静态数据加密。
• 按企业和按角色隔离数据，在数据库层面强制执行（行级访问控制）；浏览器不得直接访问敏感数据表；敏感功能仅可由服务器执行。
• 通过经哈希处理的密码进行身份验证，防范已泄露密码，不活跃7天后会话失效，注册、登录和密码重置时进行防机器人验证，频率限制。
• 通过限时签名链接访问文件；企业间共享文件登记册。
• 技术密钥保存在专用保管库中，绝不写入代码；管理员访问具名并记录日志。
• 加密备份，在另一服务提供商处保存文件副本；恢复程序。
• 操作和错误日志记录；合同类通信发送失败时发出警报。
• 采用自动化测试、代码审查和安全防护措施进行开发，每次发布前执行；上线前及每次重大变更后进行安全审计。
• 次级处理者受数据处理协议约束；核实其认证及跨境传输保障措施。
• 泄露管理程序：发现、控制、分析、通知（第7条）、纠正措施。

附件B — 次级处理者

客户可在“我的公司”（合同文件）中查阅清单。任何变更均遵循第5条规定的程序。