נספח עיבוד מידע

הנספח חל כאשר המפעיל (״המחזיק״) מעבד מידע אישי עבור לקוח (״הלקוח״ או ״בעל השליטה״) במסגרת שירות מקצועי או במסגרת המערכת, כאמור בפתח המסמך. ״הסכם השירות״ — ההסכם, ההצעה או ההזמנה שמכוחם ניתן השירות, ולעניין המערכת — מדיניות השימוש, לרבות סעיף 14א שבה, ותנאי התוכנית שנבחרה. הנספח אינו חל על מידע שהמפעיל הוא בעל השליטה בו, לפי מדיניות הפרטיות (לרבות מידע החשבון והמשתמשים במערכת), ועל שימוש עצמי בכלים החינמיים.

הנספח הוא חלק מהסכם השירות. בסתירה בעניין עיבוד מידע אישי — הנספח גובר. בעניין אחריות, הגבלות ותשלום — הסכם השירות גובר.

מונחים — כמשמעותם בחוק הגנת הפרטיות, התשמ״א-1981 (״החוק״) ובתקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017 (״התקנות״).

הנוסח המפורסם באתר עשוי להתעדכן. עדכון חל על התקשרויות חדשות ועל חידושים. בהתקשרות קיימת עם נספח חתום, העדכון חל רק אם הוא נדרש לפי דין או שאינו מרע באופן מהותי את מצב הלקוח. בהתקשרות שבה הנספח אושר במערכת, יחולו לעניין עדכונו הוראות סעיף 26 למדיניות השימוש.

אין בנספח כדי לגרוע מחובה שהדין מטיל על מי מהצדדים, או להעביר חובה כזו מצד לצד.

הלקוח הוא בעל השליטה במאגרי המידע שלו, והמחזיק מעבד מידע מהם עבורו. סעיף 17 לחוק מטיל אחריות לאבטחת המידע על כל אחד מהם.

הלקוח אחראי, לבדו, לחוקיות האיסוף והעיבוד, לבסיס החוקי, למתן הודעות ולקבלת הסכמות, לרישום או לדיווח על מאגריו, למינוי ממונה או ממונה אבטחה כשנדרש, ולכך שמסירת המידע למחזיק מותרת. הלקוח מצהיר כי כך הדבר.

ניתוחים, דוחות והמלצות של המחזיק אינם מעבירים אליו את אחריות הלקוח כבעל שליטה. ההחלטה אם ליישם אותם, ואיך, נתונה ללקוח.

פעל הלקוח עבור בעל שליטה אחר, לרבות כממונה על הגנת הפרטיות או כנותן שירות לבעל שליטה, הוא מצהיר כי הוסדר בינו לבין אותו בעל שליטה הסכם לפי תקנה 15 לתקנות, המתיר לו להעסיק את המחזיק כמחזיק-משנה לצורך השירות. לגבי מידע כאמור, הוראות הנספח החלות על הלקוח יחולו עליו גם כלפי המחזיק, והלקוח אחראי כלפי בעל השליטה שעבורו הוא פועל, ולבדו, לקיום ההסכם ביניהם.

המידע, מטרות העיבוד, המערכות שלהן תינתן גישה, סוג העיבוד ומשכו מתוארים בנספח א' ובהסכם השירות. בפירוט רב יותר בהסכם השירות — הוא גובר.

הלקוח יעדכן את המחזיק מראש אם יימסר מידע בעל רגישות מיוחדת, מידע על קטינים או מידע ממאגר ברמת אבטחה גבוהה, וימסור רק מידע שנדרש לשירות.

המחזיק יעבד את מידע הלקוח לפי הסכם השירות, נספח זה והוראות הלקוח בכתב, וכן ככל שהדבר נדרש לפי דין.

הוראה שמרחיבה את היקף השירות תיחשב בקשת שינוי, ועשויה להיות כרוכה בתשלום.

אם לדעת המחזיק הוראה סותרת את הדין, הוא רשאי להודיע על כך ולהשעות את ביצועה. אין בכך התחייבות לבדוק את חוקיות ההוראות.

המחזיק רשאי לעבד מידע גם ככל שהדבר נדרש לפי דין, צו או דרישה של רשות מוסמכת. במידה שהדין מתיר, הוא יודיע ללקוח מראש.

המחזיק לא יאמן מודלים של בינה מלאכותית על מידע הלקוח.

המחזיק רשאי להשתמש בנתונים מצרפיים או אנונימיים שנגזרו מהשירות, שאינם מאפשרים לזהות את הלקוח או אדם, לשיפור השירותים, למחקר ולסטטיסטיקה.

גישה למידע הלקוח תינתן למי שנדרש לה לצורך השירות, ובהיקף הנדרש. מי שמקבל גישה מחויב בסודיות מכוח חוזה, חוק או חובה מקצועית, ומקבל הדרכה כנדרש בתקנות. הרשאה תבוטל כשהצורך בה מסתיים.

הלקוח מאשר למחזיק, באופן כללי, להיעזר במעבדי משנה מהקטגוריות שבנספח ב', לרבות תאגידים הקשורים אליו. המחזיק רשאי להוסיף, להחליף או להסיר מעבדי משנה מעת לעת, לפי שיקול דעתו. מסירת פירוט זהותם היא בשיקול דעתו ובכפוף לסודיות.

המחזיק יטיל על מעבד משנה שיש לו גישה למידע הלקוח חובות הגנה שאינן פחותות מהנדרש בתקנות. אפשר לעשות זאת בהסכם או בתנאי השירות הסטנדרטיים של הספק.

הלקוח מאשר שמידע עשוי להישמר או להיות נגיש מחוץ לישראל, לרבות בבריטניה, במדינות האיחוד האירופי ובארצות הברית, לפי תקנות הגנת הפרטיות (העברת מידע למאגרי מידע שמחוץ לגבולות המדינה), התשס״א-2001.

לקוח שחלה עליו מגבלה על מקום האחסון יודיע על כך מראש ובכתב. המחזיק רשאי להתאים את השירות, בתשלום, או לסרב לשירות שאינו מתאים לה.

המחזיק ינקוט אמצעי אבטחה לפי התקנות, בהתאם לרמת האבטחה של המאגר כפי שהלקוח מסר לו. תיאור כללי מופיע בנספח ג'. האמצעים עשויים להשתנות, בלי לפחות מהנדרש לפי דין.

המחזיק ישמור תיעוד גישה למערכות שבהן נשמר מידע הלקוח, במידה ולתקופה שהתקנות מחייבות לפי רמת האבטחה.

הלקוח אחראי לאבטחת המערכות שבשליטתו, לאמצעי הגישה שמסר למחזיק ולנכונות ההרשאות שהגדיר. שום צד אינו יכול להבטיח חסינות מוחלטת.

המחזיק יודיע ללקוח בלא דיחוי בלתי סביר על אירוע אבטחה שנוגע למידע הלקוח ושנודע לו. ההודעה תכלול את המידע שבידיו באותה עת, ותתעדכן ככל שיתברר.

הדיווח לרשות ולנושאי המידע באחריות הלקוח. המחזיק ידווח בעצמו רק כשהדין מחייב אותו. הוא רשאי למסור ללקוח מידע נוסף ולסייע לו, בתשלום לפי תעריפיו.

הודעה או סיוע אינם הודאה באחריות, באשם או בהפרה.

פנייה של נושא מידע למחזיק תועבר ללקוח. המחזיק לא יענה לה בעצמו, אלא אם הורה לו הלקוח או שהדין מחייב. המחזיק רשאי לסייע ללקוח במענה, בתשלום לפי תעריפיו.

לפי תקנה 15, המחזיק ימסור ללקוח, פעם בשנה לפחות ולפי בקשה, דיווח על אופן מילוי חובותיו לפי התקנות והנספח. הדיווח יכול להיות הצהרה בכתב, שאלון מובנה, תמצית בקרה או אישור אחר.

המחזיק רשאי, לפי שיקול דעתו, להסכים לבקשת הלקוח לבדיקה נוספת, בתנאים אלה: הודעה מראש של 30 יום לפחות; הבדיקה מתחילה בבחינת מסמכים; לכל היותר פעם בשנה, אלא אם הרשות דורשת אחרת; בשעות העבודה ובלי לפגוע בפעילות; בידי הלקוח או בודק שמחויב בסודיות ואינו מתחרה במחזיק; ועל חשבון הלקוח.

הבדיקה לא תכלול מידע של לקוחות אחרים, סודות מסחריים, קוד או מידע שחשיפתו עלולה לפגוע באבטחה.

בתום השירות או הגישה למערכת, ביקש הלקוח בכתב, בתוך 30 ימים מסיומם, לקבל את מידע הלקוח — המידע יוחזר לו בפורמט קיים, ולאחר מכן ימחק אותו המחזיק. לא ביקש הלקוח כאמור — המחזיק רשאי למחוק את המידע בתום 30 ימים מסיום השירות או הגישה.

לפי בקשה, המחזיק ימסור אישור בכתב על המחיקה או ההחזרה.

מידע בגיבויים יימחק במחזור הרגיל שלהם, ועד אז יישמר מוגן ולא יעובד באופן פעיל. המחזיק רשאי לשמור עותק ככל שהדין מחייב או מתיר, לרבות תוצר שנמסר ותיעוד השירות לצורך הגנה מפני טענות, והנספח ימשיך לחול עליו.

הלקוח מצהיר שהוא רשאי למסור את המידע ולתת את ההוראות, ושהעיבוד לפיהן לא יפר דין או זכות של אחר.

הלקוח ישפה את המחזיק בגין כל תביעה, קנס, נזק או הוצאה, לרבות הוצאות משפט, שנגרמו בשל הפרת הצהרותיו או חובותיו כבעל שליטה, או בשל ביצוע הוראותיו, בכפוף להודעה ולאפשרות להתגונן.

אחריות המחזיק בקשר לנספח זה כפופה להגבלות האחריות שבהסכם השירות ונכללת בתקרה הכוללת שלו. בהעדר תקרה בהסכם, התקרה תהיה הסכום ששולם בפועל עבור השירות ב-12 החודשים שקדמו לאירוע. המחזיק לא יישא בנזק עקיף או תוצאתי, במידה המרבית שהדין מתיר.

אין באמור כדי לגרוע מאחריות שאי אפשר להגביל לפי דין.

התחייבויות לפי דין זר, כגון GDPR או סעיפים חוזיים סטנדרטיים, יחולו רק אם נחתם עליהן נספח נפרד בכתב, והן עשויות להיות כרוכות בתשלום.

הנספח חל כל עוד המחזיק מעבד את מידע הלקוח, גם לאחר סיום הסכם השירות. סעיפים שלפי טבעם נועדו לשרוד — כגון סודיות, אחריות, שיפוי ודין — ימשיכו לחול.

על הנספח חל דין מדינת ישראל בלבד. סמכות השיפוט נתונה לבתי המשפט המוסמכים במחוז חיפה, בכפוף להוראת דין קוגנטית.

• אירוח, ענן ומסדי נתונים — אירוח האתר, מנועי הסריקה, הכלים והמידע.
• תשתית רשת ואבטחה — DNS, הגנה מפני ניצול לרעה ואימות אנושי.
• דואר אלקטרוני — שליחת הודעות ותוצרים.
• ניהול עבודה וקשרי לקוחות — ניהול פניות ופרויקטים.
• מודלים וכלים אוטומטיים — ניתוח, תמלול וסיכום.
• תשלומים — חיוב וסליקה, ככל שיופעלו.
• תאגידים קשורים ונותני שירות מקצועי — סיוע במתן השירות.

מעבדי המשנה עשויים לפעול בישראל ומחוצה לה, לרבות בבריטניה, במדינות האיחוד האירופי ובארצות הברית. הקטגוריות עשויות להשתנות לפי סעיף 6.

התיאור כללי, עשוי להשתנות, ואינו מחייב יישום של כל אמצעי בכל מקרה:

• הרשאות גישה לפי צורך, זיהוי משתמשים ואימות רב-שלבי במערכות ניהול, ככל שהדבר זמין.
• הצפנת תעבורה ברשת, והצפנה באחסון ככל שהספק מספק אותה.
• הפרדת סביבות ונתוני לקוחות ברמה לוגית.
• תיעוד גישה ואירועים לפי התקנות.
• גיבויים ועדכוני תוכנה.
• התחייבות לסודיות והדרכה למי שניגש למידע.
• בחירת ספקים שמפרסמים מסגרת אבטחה מוכרת, כגון ISO 27001 או SOC 2, ככל שיש כזו.
• נוהל לטיפול באירועי אבטחה.
• מחיקה או הפיכה לאנונימי של מידע שאינו נדרש עוד.