Σύμβαση Επεξεργασίας Δεδομένων (DPA) — Παράρτημα 1 των Όρων Χρήσης

Έκδοση 1.0 — 3 Νοεμβρίου 2026. Η παρούσα σύμβαση (umowa powierzenia przetwarzania danych osobowych, Άρθρο 28 ΓΚΠΔ) συνάπτεται μεταξύ της Εταιρείας που διαθέτει λογαριασμό PolyMatch (ο «Πελάτης») και του/της [Όνομα ΕΠΩΝΥΜΟ], [διεύθυνση έδρας], Πολωνία, NIP [NIP] («PolyMatch»). Γίνεται αποδεκτή μαζί με τους Όρους Χρήσης από πρόσωπο εξουσιοδοτημένο να δεσμεύει τον Πελάτη· χρονολογημένο αντίγραφο στο όνομα του Πελάτη μπορεί να ληφθεί από την ενότητα «Η εταιρεία μου».

1. Αντικείμενο και πεδίο εφαρμογής

1.1 Η παρούσα σύμβαση διέπει την επεξεργασία από την PolyMatch, για λογαριασμό του Πελάτη, δεδομένων προσωπικού χαρακτήρα τρίτων που περιέχονται στο περιεχόμενο που ο Πελάτης ανεβάζει ή καταχωρίζει στην Πλατφόρμα («Δεδομένα του Πελάτη»): στοιχεία επικοινωνίας των υπεργολάβων, πελατών ή συνεργατών του, πρόσωπα που κατονομάζονται στα έγγραφα, τα μηνύματα, τα έργα ή τις προσφορές του.

1.2 Τα ακόλουθα δεν αποτελούν Δεδομένα του Πελάτη και υποβάλλονται σε επεξεργασία από την PolyMatch ως ανεξάρτητο υπεύθυνο επεξεργασίας, σύμφωνα με την Πολιτική Απορρήτου: οι λογαριασμοί των Χρηστών του Πελάτη, τα δεδομένα ταυτοποίησης και καταχώρισης της Εταιρείας, τα τεχνικά δεδομένα των Grades, τα Έργα ως προς την τεχνική τους διάσταση, τα Leads, οι Αντιστοιχίσεις και οι κατατάξεις, η τιμολόγηση, τα αρχεία καταγραφής ασφάλειας και δραστηριότητας, οι συγκαταθέσεις. Ο Πελάτης και η PolyMatch είναι ο καθένας ανεξάρτητος υπεύθυνος επεξεργασίας για τα δεδομένα που ανταλλάσσονται μεταξύ Εταιρειών μετά από Ξεκλείδωμα.

1.3 Περιγραφή της επεξεργασίας: φύση — φιλοξενία, αποθήκευση, εμφάνιση στον Πελάτη και στους Χρήστες του, διαβίβαση στις Εταιρείες με τις οποίες ο Πελάτης έρχεται σε επαφή μέσω της Πλατφόρμας, αυτόματη μετάφραση μηνυμάτων, δημιουργία αντιγράφων ασφαλείας· σκοπός — η παροχή των υπηρεσιών που περιγράφονται στους Όρους· διάρκεια — η διάρκεια της σύμβασης· κατηγορίες υποκειμένων των δεδομένων — επαγγελματικές επαφές των υπεργολάβων, πελατών και συνεργατών του Πελάτη, πρόσωπα που αναφέρονται από τους Χρήστες του· κατηγορίες δεδομένων — επαγγελματική ταυτότητα, θέση, επαγγελματικά στοιχεία επικοινωνίας, περιεχόμενο μηνυμάτων και εγγράφων· δεν αναμένεται επεξεργασία ειδικών κατηγοριών δεδομένων (Άρθρο 9 ΓΚΠΔ) και ο Πελάτης δεσμεύεται να μην ανεβάζει τέτοια δεδομένα.

2. Οδηγίες του Πελάτη

2.1 Η PolyMatch επεξεργάζεται τα Δεδομένα του Πελάτη μόνο βάσει καταγεγραμμένων οδηγιών του Πελάτη. Οι οδηγίες είναι: οι Όροι Χρήσης, η παρούσα σύμβαση και οι ενέργειες που εκτελούν ο Πελάτης και οι Χρήστες του στην Πλατφόρμα (μεταφόρτωση, κοινοποίηση, αποστολή, διαγραφή).

2.2 Εάν η PolyMatch κρίνει ότι μια οδηγία παραβιάζει τον ΓΚΠΔ ή άλλες διατάξεις για την προστασία των δεδομένων, ενημερώνει αμελλητί τον Πελάτη. Η PolyMatch μπορεί να επεξεργάζεται Δεδομένα του Πελάτη χωρίς οδηγία όταν το απαιτεί το δίκαιο της Ένωσης ή κράτους μέλους· στην περίπτωση αυτή ενημερώνει τον Πελάτη, εκτός εάν αυτό απαγορεύεται από τον νόμο.

3. Υποχρεώσεις του Πελάτη

Ο Πελάτης εγγυάται ότι διαθέτει νομική βάση για τα Δεδομένα του Πελάτη, ότι έχει ενημερώσει τα υποκείμενα των δεδομένων, ότι οι οδηγίες του είναι νόμιμες και ότι περιορίζει τα Δεδομένα του Πελάτη στα απολύτως απαραίτητα. Μόνο ο ίδιος απαντά στα αιτήματα των υποκειμένων των δεδομένων και των αρχών που αφορούν τα Δεδομένα του Πελάτη, με τη συνδρομή της PolyMatch σύμφωνα με το Άρθρο 6.

4. Υποχρεώσεις της PolyMatch

4.1 Εμπιστευτικότητα: τα πρόσωπα που είναι εξουσιοδοτημένα να επεξεργάζονται Δεδομένα του Πελάτη δεσμεύονται από υποχρέωση εμπιστευτικότητας βάσει σύμβασης ή νόμου· η πρόσβαση περιορίζεται στα αναγκαία για τη λειτουργία και την υποστήριξη.

4.2 Ασφάλεια: η PolyMatch εφαρμόζει τα τεχνικά και οργανωτικά μέτρα του Παραρτήματος A και τα προσαρμόζει στην εξέλιξη των κινδύνων, χωρίς να μειώνει το συνολικό τους επίπεδο.

4.3 Αρχεία και συνεργασία: η PolyMatch τηρεί το αρχείο των κατηγοριών δραστηριοτήτων επεξεργασίας που διενεργούνται για λογαριασμό του Πελάτη και συνεργάζεται, κατόπιν αιτήματος, με την εποπτική αρχή.

5. Υπεργολάβοι επεξεργασίας

5.1 Ο Πελάτης παρέχει γενική άδεια για τη χρήση των υπεργολάβων επεξεργασίας που απαριθμούνται στο Παράρτημα B, το οποίο αναπαράγει τον κατάλογο που δημοσιεύεται στην Πολιτική Απορρήτου.

5.2 Η PolyMatch ενημερώνει τον Πελάτη μέσω e-mail για κάθε προσθήκη ή αντικατάσταση τουλάχιστον τριάντα ημέρες πριν από την έναρξη ισχύος της. Ο Πελάτης μπορεί να αντιταχθεί εγγράφως, για εύλογους λόγους που αφορούν την προστασία των δεδομένων, εντός της προθεσμίας αυτής· ελλείψει συμφωνίας, ο Πελάτης μπορεί να καταγγείλει τη σύμβαση πριν από την έναρξη ισχύος της αλλαγής, χωρίς ποινή.

5.3 Η PolyMatch επιβάλλει σε κάθε υπεργολάβο επεξεργασίας, με σύμβαση, υποχρεώσεις προστασίας δεδομένων ισοδύναμες με τις δικές της και παραμένει υπεύθυνη έναντι του Πελάτη για την εκπλήρωσή τους.

6. Συνδρομή και δικαιώματα των υποκειμένων των δεδομένων

6.1 Λαμβάνοντας υπόψη τη φύση της επεξεργασίας, η PolyMatch συνδράμει τον Πελάτη στην ανταπόκριση σε αιτήματα υποκειμένων των δεδομένων που ασκούν τα δικαιώματά τους (πρόσβαση, διόρθωση, διαγραφή, περιορισμός, φορητότητα, εναντίωση). Ο Πελάτης διαθέτει, εντός της Πλατφόρμας, τα μέσα για να βλέπει, να διορθώνει και να διαγράφει Δεδομένα του Πελάτη· η PolyMatch παρεμβαίνει κατόπιν γραπτού αιτήματος για όσα η Πλατφόρμα δεν επιτρέπει, εντός δέκα εργάσιμων ημερών.

6.2 Εάν ένα υποκείμενο των δεδομένων απευθυνθεί απευθείας στην PolyMatch σχετικά με Δεδομένα του Πελάτη, η PolyMatch διαβιβάζει το αίτημα στον Πελάτη χωρίς να απαντήσει επί της ουσίας, εκτός εάν υποχρεούται από τον νόμο.

6.3 Η PolyMatch συνδράμει τον Πελάτη, στο μέτρο των πληροφοριών που διαθέτει, στη συμμόρφωσή του με τις υποχρεώσεις του σχετικά με την ασφάλεια, τη γνωστοποίηση παραβιάσεων και την εκτίμηση αντικτύπου (Άρθρα 32 έως 36 ΓΚΠΔ).

7. Παραβιάσεις δεδομένων

Η PolyMatch γνωστοποιεί στον Πελάτη κάθε παραβίαση δεδομένων προσωπικού χαρακτήρα που αφορά Δεδομένα του Πελάτη χωρίς αδικαιολόγητη καθυστέρηση και το αργότερο εντός σαράντα οκτώ ωρών αφότου λάβει γνώση αυτής, μέσω e-mail προς τους Διαχειριστές του Πελάτη. Η γνωστοποίηση περιγράφει τη φύση της παραβίασης, τις κατηγορίες και τον κατά προσέγγιση αριθμό των υποκειμένων των δεδομένων και των σχετικών εγγραφών, τις πιθανές συνέπειες, τα μέτρα που ελήφθησαν ή προτείνονται, καθώς και το σημείο επικοινωνίας· οι πληροφορίες που δεν είναι ακόμη διαθέσιμες παρέχονται μόλις καταστούν διαθέσιμες.

8. Διαβιβάσεις εκτός της Ευρωπαϊκής Ένωσης

Τα Δεδομένα του Πελάτη φιλοξενούνται στην Ευρωπαϊκή Ένωση. Κάθε διαβίβαση προς τρίτη χώρα από υπεργολάβο επεξεργασίας βασίζεται σε απόφαση επάρκειας ή στις τυποποιημένες συμβατικές ρήτρες της Ευρωπαϊκής Επιτροπής, με κατάλληλα συμπληρωματικά μέτρα· το Παράρτημα B αναφέρει την εγγύηση που ισχύει για κάθε υπεργολάβο επεξεργασίας.

9. Έλεγχος

9.1 Η PolyMatch θέτει στη διάθεση του Πελάτη τις πληροφορίες που είναι αναγκαίες για την απόδειξη της συμμόρφωσης με την παρούσα σύμβαση: περιγραφή των μέτρων ασφάλειας, κατάλογο υπεργολάβων επεξεργασίας, απαντήσεις σε γραπτό ερωτηματολόγιο μία φορά τον χρόνο.

9.2 Επιτόπιος έλεγχος ή έλεγχος από ανεξάρτητο τρίτο είναι δυνατός μία φορά τον χρόνο, ή μετά από παραβίαση δεδομένων ή κατόπιν αιτήματος αρχής, με γραπτή προειδοποίηση τριάντα ημερών, κατά τις ώρες λειτουργίας, χωρίς διατάραξη των εργασιών και χωρίς παροχή πρόσβασης σε δεδομένα άλλων πελατών, με έξοδα του Πελάτη. Τα πορίσματα είναι εμπιστευτικά.

10. Τέλος της επεξεργασίας

10.1 Με τη λήξη της σύμβασης, η PolyMatch διαγράφει τα Δεδομένα του Πελάτη εντός τριάντα ημερών, εκτός εάν ισχύει νόμιμη υποχρέωση διατήρησης, οπότε τα δεδομένα διατηρούνται απομονωμένα έως τη λήξη της υποχρέωσης αυτής. Ο Πελάτης εξάγει ο ίδιος τα δεδομένα του πριν από τη λήξη της σύμβασης μέσω των λειτουργιών της Πλατφόρμας.

10.2 Τα Δεδομένα του Πελάτη που έχουν ήδη διαβιβαστεί, κατ' εντολή του Πελάτη, σε άλλη Εταιρεία μέσω Ξεκλειδώματος, Προσφοράς ή κοινοποίησης εγγράφων παραμένουν σε αυτήν την Εταιρεία, η οποία είναι ο υπεύθυνος επεξεργασίας τους. Η συνέχιση της καταχώρισης των Grades μετά τη λήξη της σύμβασης (Άρθρο 12.5 των Όρων) αφορά τεχνικά και εταιρικά δεδομένα, τα οποία δεν αποτελούν Δεδομένα του Πελάτη.

11. Ευθύνη και διάρκεια

11.1 Η ευθύνη κάθε μέρους δυνάμει της παρούσας σύμβασης υπόκειται στους περιορισμούς του Άρθρου 13 των Όρων Χρήσης, εκτός εάν υποχρεωτικές διατάξεις του ΓΚΠΔ ορίζουν διαφορετικά.

11.2 Η παρούσα σύμβαση ισχύει καθ' όλη τη διάρκεια της σύμβασης και έως τη διαγραφή των Δεδομένων του Πελάτη. Διέπεται από το πολωνικό δίκαιο· σε περίπτωση σύγκρουσης με τους Όρους σε θέμα που αφορά δεδομένα προσωπικού χαρακτήρα, υπερισχύει η παρούσα σύμβαση.

Παράρτημα A — Τεχνικά και οργανωτικά μέτρα

• Φιλοξενία δεδομένων και αρχείων στην Ευρωπαϊκή Ένωση (Ιρλανδία), σε πάροχο πιστοποιημένο κατά ISO 27001 και SOC 2.
• Κρυπτογράφηση των επικοινωνιών (TLS 1.2 ή ανώτερο) και των δεδομένων σε κατάσταση ηρεμίας.
• Διαχωρισμός των δεδομένων ανά Εταιρεία και ανά ρόλο, που επιβάλλεται σε επίπεδο βάσης δεδομένων (έλεγχος πρόσβασης σε επίπεδο γραμμής)· καμία άμεση πρόσβαση από το πρόγραμμα περιήγησης σε ευαίσθητους πίνακες· ευαίσθητες λειτουργίες εκτελέσιμες μόνο από τον διακομιστή.
• Ταυτοποίηση με κατακερματισμένο κωδικό πρόσβασης, προστασία έναντι παραβιασμένων κωδικών πρόσβασης, λήξη της συνεδρίας μετά από 7 ημέρες αδράνειας, έλεγχος κατά των bots κατά την εγγραφή, τη σύνδεση και την επαναφορά κωδικού πρόσβασης, περιορισμός συχνότητας αιτημάτων.
• Πρόσβαση στα αρχεία μέσω υπογεγραμμένων συνδέσμων περιορισμένης χρονικής ισχύος· μητρώο των εγγράφων που κοινοποιούνται μεταξύ Εταιρειών.
• Τεχνικά μυστικά που φυλάσσονται σε ειδικό θησαυροφυλάκιο, ποτέ στον κώδικα· ονομαστική και καταγεγραμμένη πρόσβαση διαχειριστών.
• Κρυπτογραφημένα αντίγραφα ασφαλείας, αντίγραφο των αρχείων σε δεύτερο πάροχο· διαδικασία επαναφοράς.
• Καταγραφή ενεργειών και σφαλμάτων· ειδοποίηση όταν μια συμβατική επικοινωνία δεν αποστέλλεται.
• Ανάπτυξη με αυτοματοποιημένες δοκιμές, επανέλεγχο και δικλίδες ασφαλείας πριν από κάθε έκδοση· έλεγχος ασφάλειας πριν από την έναρξη λειτουργίας και μετά από κάθε σημαντική αλλαγή.
• Υπεργολάβοι επεξεργασίας δεσμευμένοι με σύμβαση επεξεργασίας δεδομένων· επαλήθευση των πιστοποιήσεών τους και των εγγυήσεων διαβίβασης.
• Διαδικασία διαχείρισης παραβιάσεων: ανίχνευση, περιορισμός, ανάλυση, γνωστοποίηση (Άρθρο 7), διορθωτικά μέτρα.

Παράρτημα B — Υπεργολάβοι επεξεργασίας

Κατάλογος προσβάσιμος στους Πελάτες στην ενότητα «Η εταιρεία μου» (Συμβατικά έγγραφα). Κάθε αλλαγή ακολουθεί τη διαδικασία του Άρθρου 5.