Umowa powierzenia przetwarzania danych osobowych (DPA) — załącznik nr 1 do Regulaminu

Wersja 1.0 — 3 listopada 2026 r. Niniejsza umowa (art. 28 RODO) jest zawierana między Przedsiębiorstwem posiadającym konto PolyMatch („Klient”) a Eddy KHATIB, ul. Złota 75A/7, 00-819 Warszawa, Polska, NIP 5273244324 („PolyMatch”). Jest akceptowana wraz z Regulaminem przez osobę umocowaną do reprezentowania Klienta; datowany egzemplarz na nazwę Klienta można pobrać w sekcji Moja firma.

1. Przedmiot i zakres

1.1 Niniejsza umowa reguluje przetwarzanie przez PolyMatch, w imieniu Klienta, danych osobowych osób trzecich zawartych w treściach, które Klient przesyła lub wprowadza na Platformę („Dane Klienta”): dane kontaktowe jego podwykonawców, klientów lub partnerów, osoby wymienione w jego dokumentach, wiadomościach, projektach lub ofertach.

1.2 Danymi Klienta nie są i są przetwarzane przez PolyMatch jako niezależnego administratora, zgodnie z Polityką prywatności: konta Użytkowników Klienta, dane identyfikacyjne i dane obecności Przedsiębiorstwa w bazie, dane techniczne Gatunków, Projekty w ich wymiarze technicznym, Leady, Dopasowania i rankingi, fakturowanie, logi bezpieczeństwa i aktywności, zgody. Klient i PolyMatch są każdy z osobna niezależnymi administratorami danych wymienianych między Przedsiębiorstwami po Odblokowaniu.

1.3 Opis przetwarzania: charakter — hosting, przechowywanie, wyświetlanie Klientowi i jego Użytkownikom, przekazywanie Przedsiębiorstwom, z którymi Klient kojarzy się za pośrednictwem Platformy, automatyczne tłumaczenie wiadomości, kopie zapasowe; cel — świadczenie usług opisanych w Regulaminie; czas trwania — okres obowiązywania umowy; kategorie osób — kontakty biznesowe podwykonawców, klientów i partnerów Klienta, osoby wymienione przez jego Użytkowników; kategorie danych — tożsamość zawodowa, stanowisko, służbowe dane kontaktowe, treść wiadomości i dokumentów; nie przewiduje się szczególnych kategorii danych (art. 9 RODO), a Klient zobowiązuje się ich nie przesyłać.

2. Polecenia Klienta

2.1 PolyMatch przetwarza Dane Klienta wyłącznie na udokumentowane polecenie Klienta. Poleceniami są: Regulamin, niniejsza umowa oraz czynności wykonywane przez Klienta i jego Użytkowników w Platformie (przesyłanie, udostępnianie, wysyłanie, usuwanie).

2.2 Jeżeli PolyMatch uzna, że polecenie narusza RODO lub inne przepisy o ochronie danych, niezwłocznie informuje o tym Klienta. PolyMatch może przetwarzać Dane Klienta bez polecenia, gdy wymaga tego prawo Unii lub państwa członkowskiego; informuje o tym Klienta, chyba że prawo tego zabrania.

3. Obowiązki Klienta

Klient gwarantuje, że posiada podstawę prawną dla Danych Klienta, że poinformował osoby, których dane dotyczą, że jego polecenia są zgodne z prawem oraz że ogranicza Dane Klienta do niezbędnego minimum. Samodzielnie odpowiada na żądania osób, których dane dotyczą, i organów w sprawie Danych Klienta, z pomocą PolyMatch na zasadach § 6.

4. Obowiązki PolyMatch

4.1 Poufność: osoby upoważnione do przetwarzania Danych Klienta są zobowiązane do zachowania poufności na mocy umowy lub przepisów prawa; dostęp jest ograniczony do tego, co niezbędne do obsługi i wsparcia.

4.2 Bezpieczeństwo: PolyMatch wdraża środki techniczne i organizacyjne określone w załączniku A i dostosowuje je do zmieniających się zagrożeń, nie obniżając ich ogólnego poziomu.

4.3 Rejestr i współpraca: PolyMatch prowadzi rejestr kategorii czynności przetwarzania wykonywanych na rzecz Klienta i na żądanie współpracuje z organem nadzorczym.

5. Dalsze podmioty przetwarzające

5.1 Klient udziela ogólnej zgody na korzystanie z dalszych podmiotów przetwarzających wymienionych w załączniku B, który odtwarza listę opublikowaną w Polityce prywatności.

5.2 PolyMatch informuje Klienta e-mailem o każdym dodaniu lub zastąpieniu co najmniej trzydzieści dni przed wejściem zmiany w życie. Klient może w tym terminie wnieść pisemny sprzeciw z uzasadnionych przyczyn dotyczących ochrony danych; w braku porozumienia Klient może wypowiedzieć umowę przed wejściem zmiany w życie, bez kar.

5.3 PolyMatch nakłada na każdy dalszy podmiot przetwarzający, w drodze umowy, obowiązki ochrony danych równoważne własnym i pozostaje odpowiedzialny wobec Klienta za ich wykonanie.

6. Pomoc i prawa osób, których dane dotyczą

6.1 Uwzględniając charakter przetwarzania, PolyMatch pomaga Klientowi w odpowiadaniu na żądania osób wykonujących swoje prawa (dostęp, sprostowanie, usunięcie, ograniczenie, przenoszenie, sprzeciw). Klient dysponuje w Platformie narzędziami do przeglądania, poprawiania i usuwania Danych Klienta; PolyMatch działa na pisemny wniosek w zakresie, którego Platforma nie umożliwia, w ciągu dziesięciu dni roboczych.

6.2 Jeżeli osoba, której dane dotyczą, zwróci się bezpośrednio do PolyMatch w sprawie Danych Klienta, PolyMatch przekazuje żądanie Klientowi bez merytorycznej odpowiedzi, chyba że wymaga tego prawo.

6.3 PolyMatch pomaga Klientowi, w zakresie posiadanych informacji, w wypełnianiu obowiązków dotyczących bezpieczeństwa, zgłaszania naruszeń i oceny skutków (art. 32–36 RODO).

7. Naruszenia ochrony danych

PolyMatch zgłasza Klientowi każde naruszenie ochrony danych osobowych dotyczące Danych Klienta bez zbędnej zwłoki, najpóźniej w ciągu czterdziestu ośmiu godzin od jego stwierdzenia, e-mailem do Administratorów Klienta. Zgłoszenie opisuje charakter naruszenia, kategorie i przybliżoną liczbę osób i wpisów, których dotyczy, prawdopodobne konsekwencje, podjęte lub proponowane środki oraz punkt kontaktowy; informacje jeszcze niedostępne są przekazywane niezwłocznie po ich uzyskaniu.

8. Przekazywanie danych poza Unię Europejską

Dane Klienta są hostowane w Unii Europejskiej. Każde przekazanie do państwa trzeciego przez dalszy podmiot przetwarzający opiera się na decyzji stwierdzającej odpowiedni stopień ochrony lub na standardowych klauzulach umownych Komisji Europejskiej, z odpowiednimi środkami uzupełniającymi; załącznik B wskazuje zabezpieczenie właściwe dla każdego podmiotu. Niektóre zautomatyzowane operacje przetwarzania są powierzane dostawcom usług AI mającym siedzibę w Stanach Zjednoczonych, na podstawie standardowych klauzul umownych Komisji Europejskiej; Twoje dane nie są wykorzystywane do trenowania ich modeli.

9. Audyt

9.1 PolyMatch udostępnia Klientowi informacje niezbędne do wykazania zgodności z niniejszą umową: opis środków bezpieczeństwa, listę dalszych podmiotów przetwarzających, odpowiedzi na pisemny kwestionariusz raz w roku.

9.2 Audyt na miejscu lub przez niezależną osobę trzecią jest możliwy raz w roku, a także po naruszeniu ochrony danych lub na żądanie organu, za pisemnym uprzedzeniem z trzydziestodniowym wyprzedzeniem, w godzinach pracy, bez zakłócania działalności i bez dostępu do danych innych klientów, na koszt Klienta. Ustalenia są poufne.

10. Zakończenie przetwarzania

10.1 Po zakończeniu umowy PolyMatch usuwa Dane Klienta w ciągu trzydziestu dni, chyba że obowiązuje ustawowy obowiązek przechowywania — wówczas dane są przechowywane w izolacji do wygaśnięcia tego obowiązku. Klient samodzielnie eksportuje swoje dane przed zakończeniem umowy za pomocą funkcji Platformy.

10.2 Dane Klienta przekazane już na jego polecenie innemu Przedsiębiorstwu w drodze Odblokowania, Oferty lub udostępnienia dokumentów pozostają u tego Przedsiębiorstwa, które jest ich administratorem. Dalsza obecność Gatunków w bazie po zakończeniu umowy (§ 12.5 Regulaminu) dotyczy danych technicznych i danych przedsiębiorstwa, które nie są Danymi Klienta.

11. Odpowiedzialność i czas obowiązywania

11.1 Odpowiedzialność każdej ze stron z tytułu niniejszej umowy podlega ograniczeniom z § 13 Regulaminu, chyba że bezwzględnie obowiązujące przepisy RODO stanowią inaczej.

11.2 Niniejsza umowa obowiązuje przez cały okres umowy głównej i do czasu usunięcia Danych Klienta. Podlega prawu polskiemu; w razie sprzeczności z Regulaminem w kwestii dotyczącej danych osobowych pierwszeństwo ma niniejsza umowa.

Załącznik A — Środki techniczne i organizacyjne

• Hosting danych i plików w Unii Europejskiej (Irlandia) u dostawcy z certyfikatami ISO 27001 i SOC 2.
• Szyfrowanie transmisji (TLS 1.2 lub wyższy) i danych w spoczynku.
• Separacja danych według Przedsiębiorstwa i roli, egzekwowana na poziomie bazy danych (kontrola dostępu na poziomie wierszy); brak bezpośredniego dostępu przeglądarek do wrażliwych tabel; funkcje wrażliwe wykonywane wyłącznie przez serwer.
• Uwierzytelnianie hasłem zaszyfrowanym skrótem, ochrona przed skompromitowanymi hasłami, wygasanie sesji po 7 dniach braku aktywności, kontrola antybotowa przy rejestracji, logowaniu i resetowaniu hasła, limitowanie liczby żądań.
• Dostęp do plików przez podpisane linki o ograniczonym czasie ważności; rejestr dokumentów udostępnianych między Przedsiębiorstwami.
• Sekrety techniczne przechowywane w dedykowanym sejfie, nigdy w kodzie; imienny i rejestrowany dostęp administracyjny.
• Szyfrowane kopie zapasowe, kopia plików u drugiego dostawcy; procedura odtwarzania.
• Rejestrowanie czynności i błędów; alert w razie niepowodzenia wysyłki komunikacji umownej.
• Rozwój oprogramowania z testami automatycznymi, przeglądem i zabezpieczeniami przed każdym wdrożeniem; audyt bezpieczeństwa przed uruchomieniem i po każdej istotnej zmianie.
• Dalsze podmioty przetwarzające związane umową powierzenia; weryfikacja ich certyfikatów i zabezpieczeń transferu.
• Procedura postępowania z naruszeniami: wykrycie, ograniczenie, analiza, zgłoszenie (§ 7), środki naprawcze.

Załącznik B — Dalsze podmioty przetwarzające

Lista dostępna dla Klientów w sekcji Moja firma (Dokumenty umowne). Każda zmiana podlega procedurze z § 5.