נספח עיבוד נתונים

1. תפקידי הצדדים

לגבי מידע אישי של לקוחות הקצה, אתם בעלי המאגר (אתם קובעים מדוע וכיצד מעובד המידע) ואנחנו המעבד (אנו מעבדים אותו מטעמכם). לגבי נתוני חשבון העסק שלכם ולגבי זהות ואבטחה ברמת הפלטפורמה, אנו פועלים כבעל מאגר, כמתואר במדיניות הפרטיות. כל צד יקיים את חובותיו לפי דיני הגנת המידע החלים, לרבות חוק הגנת הפרטיות, התשמ"א-1981 ותקנותיו, ובהן תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017 (יחד, "דיני הגנת המידע").

2. הגדרות

• "מידע אישי", "עיבוד", "בעל מאגר", "מעבד" ו"נושא מידע" — כמשמעם לפי דיני הגנת המידע.
• "לקוח קצה" — יחיד שאת מידעו האישי מעבד העסק דרך השירות (לרבות אנשי קשר מזדמנים).
• "מעבד משנה" — צד שלישי שאנו נעזרים בו לעיבוד מידע אישי של לקוחות הקצה.
• "אירוע אבטחת מידע" — הפרת אבטחה המובילה להשמדה, אובדן, שינוי, חשיפה בלתי מורשית או גישה בלתי מורשית, בשוגג או שלא כדין, למידע אישי של לקוחות הקצה.

3. היקף ופרטי העיבוד

אנו מעבדים מידע אישי של לקוחות הקצה רק כמתואר בנספח זה. הפרטים (המשמשים גם כנספח 1) הם:

4. חובותיכם כבעל המאגר

• יהיה לכם בסיס חוקי לאיסוף ולשימוש במידע אישי של לקוחות הקצה ולהעברתו לעיבוד אצלנו, ותמסרו ללקוחות הקצה כל הודעה נדרשת ותקבלו כל הסכמה נדרשת.
• אתם אחראים לדיוק ולחוקיות של המידע וההנחיות שאתם מספקים.
• בטרם רישום מידע רגיש, ובטרם שליחת הודעות שיווק דרך השירות, תוודאו שיש לכם הבסיס החוקי וההסכמה הנדרשים.
• הנחיותיכם אלינו חייבות לעמוד בדיני הגנת המידע.

5. חובותינו כמעבד

אנו:

• נעבד מידע אישי של לקוחות הקצה רק לפי הנחיותיכם המתועדות, לרבות כפי שניתנות דרך השימוש בשירות, אלא אם נדרש אחרת בדין (ובמקרה כזה נודיע לכם ככל שמותר בדין).
• נוודא שהמורשים לעבד את המידע מטעמנו מחויבים בסודיות.
• ניישם אמצעי אבטחה טכניים וארגוניים הולמים (סעיף 12 / נספח 2).
• בהתחשב באופי העיבוד, נסייע לכם באמצעים הולמים להיענות לבקשות לקוחות הקצה לממש את זכויותיהם, ולעמוד בחובותיכם בנושאי אבטחה, דיווח על אירוע והערכה.
• נודיע לכם ללא דיחוי בלתי סביר לאחר שנודע לנו על אירוע אבטחת מידע הנוגע למידע אישי של לקוחות הקצה, ונספק מידע הזמין לנו באופן סביר לסייע לכם לעמוד בחובותיכם.
• עם הסיום, נמחק או נחזיר מידע אישי של לקוחות הקצה כמתואר בסעיף 10.
• נעמיד לרשותכם מידע הנחוץ באופן סביר להוכחת עמידה בנספח זה.
• לא נמכור מידע אישי של לקוחות הקצה ולא נשתמש בו למטרותינו (כגון פרסום); אין לנו עסקי פרסום.

6. מעבדי משנה

אתם מעניקים הרשאה כללית להיעזרותנו במעבדי המשנה המפורטים להלן (נספח 3) לעיבוד מידע אישי של לקוחות הקצה, ולהוספה או החלפה של מעבדי משנה. נטיל על כל מעבד משנה חובות הגנת מידע שאינן פחותות באופן מהותי מאלה שבנספח זה, ונישאר אחראים לביצועיו. ניתן לכם הודעה מוקדמת של 14 ימים לפחות על כל מעבד משנה חדש או מחליף (בדוא"ל לאיש הקשר בחשבונכם ו/או בהודעה באפליקציה), שבמהלכם תוכלו להתנגד מטעמי הגנת מידע סבירים; אם לא נצליח ליישב את התנגדותכם, תוכלו להפסיק את השימוש בתכונה הרלוונטית או לסיים את ההתקשרות.

כאשר תכונה נוגעת לחשבון מקושר של בעל החשבון עצמו — בפרט נתוני פנוי/תפוס מ-Google Calendar, הנקראים בזמן אמת ואינם נשמרים — עיבוד זה נוגע לבעל החשבון המקושר ומטופל לפי מדיניות הפרטיות; הוא מופיע כאן לשם השלמות ואינו מידע אישי של לקוחות הקצה המעובד לפי הנחיותיכם.

7. העברות בינלאומיות

חלק ממעבדי המשנה מעבדים מידע אישי של לקוחות הקצה מחוץ לישראל. כאשר מידע מועבר לחו"ל, אנו עושים זאת באופן התואם את תקנות הגנת הפרטיות (העברת מידע אל מאגרי מידע שמחוץ לגבולות המדינה), התשס"א-2001, ומיישמים אמצעי הגנה חוזיים מתאימים.

8. בקשות נושאי מידע

כבעל המאגר, אתם אחראים להיענות לבקשות לקוחות הקצה לעיין, לתקן או למחוק את מידעם. אם לקוח קצה יפנה אלינו ישירות בבקשה כזו לגבי מידע שאנו מעבדים עבורכם, נפנה אותו אליכם או נעביר את הבקשה, ככל שמותר בדין, ונסייע לכם להיענות, בהתחשב באופי העיבוד.

9. אירועי אבטחת מידע

נודיע לכם ללא דיחוי בלתי סביר לאחר שנודע לנו על אירוע אבטחת מידע הנוגע למידע אישי של לקוחות הקצה, נספק מידע הזמין לנו באופן סביר על אופיו ועל הצעדים שננקטו, ונשתף עמכם פעולה כדי שתוכלו לעמוד בכל חובת דיווח או חובה אחרת לפי דיני הגנת המידע.

10. החזרה ומחיקה של נתונים

עם סיום השירות, ולפי בחירתכם, נמחק או נחזיר את המידע האישי של לקוחות הקצה שאנו מעבדים מטעמכם בתוך זמן סביר, ונמחק עותקים קיימים, למעט ככל שאנו נדרשים לשמרו בדין. השירות מספק כלי ייצוא לאחזור הנתונים שלכם. מאחר שהעסק הוא בעל המאגר של רשומות ההזמנות וההכנסות שלו, רשומות אלה נשארות זמינות לכם לייצוא ואתם קובעים את שמירתן; איננו מוחקים אותן באופן חד-צדדי בתגובה לבקשת לקוח קצה אלינו.

11. ביקורות ומידע

לפי בקשה סבירה בכתב, ובכפוף לסודיות, נעמיד לרשותכם מידע הנחוץ באופן סביר להוכחת עמידה בנספח זה, ונאפשר ביקורות ונתרום להן, לרבות בדיקות, על ידכם או מבקר מטעמכם, בכפוף להודעה סבירה, תדירות, היקף ודרישות אבטחה סבירות, ועל חשבונכם (אלא אם הביקורת מגלה אי-עמידה מהותית מצדנו).

12. אמצעי אבטחה (נספח 2)

אנו מקיימים אמצעים טכניים וארגוניים ההולמים את הסיכון, ובהם:

• הצפנת נתונים במעבר (TLS).
• הצפנה במנוחה של אישורים רגישים, כגון אסימוני חשבונות מקושרים (AES-256-GCM); אסימוני רענון נשמרים רק כגיבוב חד-כיווני.
• הפרדה לוגית של נתוני כל עסק, הנאכפת ברמת מסד הנתונים (אבטחה ברמת השורה), כך שעסק אחד אינו יכול לגשת לנתוני עסק אחר.
• בקרות גישה והרשאות מינימום לעובדים; אימות לגישה ניהולית.
• רישום יומני ביקורת אבטחה לפעולות משמעותיות, עם ניטור וביקורת שוטפת.
• שימוש בספקי תשתית מוכרים בעלי תוכניות אבטחה ותאימות משלהם.
• נהלים לזיהוי אירועי אבטחת מידע, להיענות להם ולדיווח לגורמים הרלוונטיים.

אף שיטת העברה או אחסון אינה מאובטחת לחלוטין; אנו פועלים להגן על המידע ולהגיב במהירות לאירועים.

13. אחריות והיחס לתנאים

אחריות כל צד לפי נספח זה או בקשר אליו כפופה למגבלות ולהחרגות האחריות שבתנאי השימוש. נספח זה אינו משנה את חלוקת הסיכונים שבתנאים, אלא כפי שנקבע במפורש.

14. יצירת קשר

שאלות או בקשות בנושא הגנת מידע לפי נספח זה: DANIEL TECH-SOLUTIONS — biz@yomany.app.