Соглашение об обработке данных (DPA) — Приложение 1 к Условиям пользования

Версия 1.0 — 3 ноября 2026 года. Настоящее соглашение (umowa powierzenia przetwarzania danych osobowych, статья 28 GDPR) заключается между Компанией, имеющей учетную запись PolyMatch («Клиент»), и Eddy KHATIB, ul. Złota 75A/7, 00-819 Warszawa, Польша, NIP 5273244324 («PolyMatch»). Оно принимается вместе с Условиями пользования лицом, уполномоченным принимать обязательства от имени Клиента; датированный экземпляр на имя Клиента можно скачать в разделе «Моя компания».

1. Предмет и сфера применения

1.1 Настоящее соглашение регулирует обработку PolyMatch от имени Клиента персональных данных третьих лиц, содержащихся в контенте, который Клиент загружает или вводит на Платформе («Данные Клиента»): контактных данных его субподрядчиков, клиентов или партнеров, лиц, упомянутых в его документах, сообщениях, проектах или предложениях.

1.2 Не являются Данными Клиента и обрабатываются PolyMatch в качестве самостоятельного контролера в соответствии с Политикой конфиденциальности: учетные записи Пользователей Клиента, идентификационные данные Компании и данные о ее размещении на Платформе, технические данные Марок, Проекты в их технической части, Лиды, Совпадения и ранжирования, данные о выставлении счетов, журналы безопасности и активности, согласия. Клиент и PolyMatch являются каждый самостоятельным контролером в отношении данных, которыми Компании обмениваются после Разблокировки.

1.3 Описание обработки: характер — хостинг, хранение, отображение Клиенту и его Пользователям, передача Компаниям, с которыми Клиент устанавливает контакт через Платформу, автоматический перевод сообщений, резервное копирование; цель — оказание услуг, описанных в Условиях; срок — срок действия договора; категории субъектов данных — деловые контактные лица субподрядчиков, клиентов и партнеров Клиента, лица, упомянутые его Пользователями; категории данных — профессиональные идентификационные данные, должность, рабочие контактные данные, содержание сообщений и документов; обработка специальных категорий данных (статья 9 GDPR) не предполагается, и Клиент обязуется не загружать такие данные.

2. Указания Клиента

2.1 PolyMatch обрабатывает Данные Клиента только на основании документально оформленных указаний Клиента. Такими указаниями являются: Условия пользования, настоящее соглашение и действия, которые Клиент и его Пользователи совершают на Платформе (загрузка, предоставление доступа, отправка, удаление).

2.2 Если PolyMatch считает, что какое-либо указание нарушает GDPR или иные положения о защите данных, он незамедлительно информирует об этом Клиента. PolyMatch вправе обрабатывать Данные Клиента без указания, если этого требует право Союза или государства-члена; в этом случае он информирует Клиента, если только это не запрещено законом.

3. Обязанности Клиента

Клиент гарантирует, что у него имеется правовое основание в отношении Данных Клиента, что он проинформировал субъектов данных, что его указания являются законными и что он ограничивает Данные Клиента необходимым минимумом. Только Клиент отвечает на запросы субъектов данных и органов власти, касающиеся Данных Клиента, при содействии PolyMatch в соответствии со статьей 6.

4. Обязанности PolyMatch

4.1 Конфиденциальность: лица, уполномоченные обрабатывать Данные Клиента, связаны обязательством о конфиденциальности в силу договора или закона; доступ ограничивается тем, что необходимо для эксплуатации и поддержки.

4.2 Безопасность: PolyMatch применяет технические и организационные меры, указанные в Приложении A, и адаптирует их к изменению рисков, не снижая их общего уровня.

4.3 Реестр и сотрудничество: PolyMatch ведет реестр категорий операций обработки, осуществляемых для Клиента, и по запросу сотрудничает с надзорным органом.

5. Субобработчики

5.1 Клиент дает общее разрешение на привлечение субобработчиков, перечисленных в Приложении B, которое воспроизводит перечень, опубликованный в Политике конфиденциальности.

5.2 PolyMatch уведомляет Клиента по электронной почте о любом добавлении или замене не менее чем за тридцать дней до вступления изменения в силу. В течение этого срока Клиент может письменно заявить возражение по обоснованным причинам, связанным с защитой данных; при недостижении согласия Клиент может расторгнуть договор до вступления изменения в силу без каких-либо штрафных санкций.

5.3 PolyMatch договорным путем возлагает на каждого субобработчика обязательства по защите данных, равнозначные его собственным, и остается ответственным перед Клиентом за их исполнение.

6. Содействие и права субъектов данных

6.1 С учетом характера обработки PolyMatch оказывает Клиенту содействие в ответах на запросы субъектов данных, осуществляющих свои права (доступ, исправление, удаление, ограничение, переносимость, возражение). Клиент располагает на Платформе средствами для просмотра, исправления и удаления Данных Клиента; PolyMatch вмешивается по письменному запросу в отношении того, что Платформа не позволяет сделать, в течение десяти рабочих дней.

6.2 Если субъект данных обращается непосредственно к PolyMatch по поводу Данных Клиента, PolyMatch передает запрос Клиенту, не отвечая на него по существу, если только это не требуется по закону.

6.3 PolyMatch оказывает Клиенту содействие в пределах доступной ему информации в выполнении его обязанностей в отношении безопасности, уведомления о нарушениях и оценки воздействия (статьи 32–36 GDPR).

7. Нарушения безопасности данных

PolyMatch уведомляет Клиента о любом нарушении безопасности персональных данных, затрагивающем Данные Клиента, без неоправданной задержки и не позднее чем через сорок восемь часов после того, как ему стало о нем известно, по электронной почте Администраторам Клиента. В уведомлении описываются характер нарушения, категории и приблизительное количество затронутых субъектов данных и записей, вероятные последствия, принятые или предлагаемые меры, а также контактное лицо; информация, которая еще недоступна, предоставляется, как только она становится доступной.

8. Передача данных за пределы Европейского союза

Данные Клиента размещаются в Европейском союзе. Любая передача в третью страну субобработчиком основывается на решении о достаточности уровня защиты или на стандартных договорных условиях Европейской комиссии с надлежащими дополнительными мерами; в Приложении B указана гарантия, применимая к каждому субобработчику. Некоторая автоматизированная обработка поручена поставщикам ИИ, учрежденным в Соединенных Штатах, на основании стандартных договорных условий Европейской комиссии; ваши данные не используются для обучения их моделей.

9. Аудит

9.1 PolyMatch предоставляет Клиенту информацию, необходимую для подтверждения соблюдения настоящего соглашения: описание мер безопасности, перечень субобработчиков, ответы на письменный опросник один раз в год.

9.2 Аудит на месте или аудит независимой третьей стороной возможен один раз в год, а также после нарушения безопасности данных или по требованию органа власти, при условии письменного уведомления за тридцать дней, в рабочее время, без нарушения деятельности и без предоставления доступа к данным других клиентов, за счет Клиента. Результаты аудита являются конфиденциальными.

10. Прекращение обработки

10.1 По окончании действия договора PolyMatch удаляет Данные Клиента в течение тридцати дней, если только не действует установленная законом обязанность хранения; в этом случае данные хранятся изолированно до истечения срока такой обязанности. Клиент самостоятельно экспортирует свои данные до окончания действия договора с помощью функций Платформы.

10.2 Данные Клиента, уже переданные по указанию Клиента другой Компании в результате Разблокировки, Предложения или предоставления доступа к документам, остаются у этой Компании, которая является их контролером. Дальнейшее размещение Марок на Платформе после окончания действия договора (статья 12.5 Условий) касается технических данных и данных о компании, которые не являются Данными Клиента.

11. Ответственность и срок действия

11.1 Ответственность каждой из сторон по настоящему соглашению подпадает под ограничения статьи 13 Условий пользования, за исключением случаев, когда императивные положения GDPR предусматривают иное.

11.2 Настоящее соглашение действует в течение всего срока действия договора и до удаления Данных Клиента. Оно регулируется правом Польши; в случае противоречия с Условиями по вопросу, касающемуся персональных данных, преимущественную силу имеет настоящее соглашение.

Приложение A — Технические и организационные меры

• Размещение данных и файлов в Европейском союзе (Ирландия) у поставщика услуг, сертифицированного по ISO 27001 и SOC 2.
• Шифрование передаваемых данных (TLS 1.2 или выше) и хранимых данных.
• Разграничение данных по Компании и по роли, обеспечиваемое на уровне базы данных (контроль доступа на уровне строк); отсутствие прямого доступа из браузера к чувствительным таблицам; чувствительные функции могут выполняться только сервером.
• Аутентификация по хешированному паролю, защита от скомпрометированных паролей, истечение сеанса после 7 дней неактивности, проверка на ботов при регистрации, входе и сбросе пароля, ограничение частоты запросов.
• Доступ к файлам по подписанным ссылкам с ограниченным сроком действия; реестр документов, предоставленных Компаниями друг другу.
• Технические секреты хранятся в специальном хранилище и никогда в программном коде; именной и журналируемый доступ администраторов.
• Зашифрованные резервные копии, копирование файлов у второго поставщика услуг; процедура восстановления.
• Журналирование действий и ошибок; оповещение в случае неудачной отправки договорного сообщения.
• Разработка с автоматизированным тестированием, проверкой кода и защитными механизмами безопасности перед каждым выпуском; аудит безопасности перед запуском и после каждого существенного изменения.
• Субобработчики связаны соглашением об обработке данных; проверка их сертификатов и гарантий при передаче данных.
• Процедура управления нарушениями: обнаружение, локализация, анализ, уведомление (статья 7), корректирующие меры.

Приложение B — Субобработчики

Перечень доступен Клиентам в разделе «Моя компания» (Договорные документы). Любое изменение осуществляется в порядке, предусмотренном статьей 5.