הסכם עיבוד נתונים

הצדדים והיקף ההסכם

הסכם עיבוד נתונים זה ("ההסכם") נערך בין הלקוח שקיבל את תנאי השימוש שלנו ("הלקוח", בעל השליטה במאגר) לבין IGP Global Solutions FZ-LLC ("IGP one", המחזיק). הוא חל כש־IGP one מעבדת מידע אישי מטעם הלקוח במסגרת מתן השירות ("המידע האישי של הלקוח").

ההסכם הוא חלק מתנאי השימוש, ומתקבל כשהלקוח מקבל את התנאים. במקרה של סתירה בין ההסכם לבין התנאים בנושאי הגנת מידע, ההסכם גובר. לקבלת עותק חתום על ידי שני הצדדים, כתבו לכתובת [email protected].

פרטי העיבוד (נספח I)

נושא העיבוד ומטרתו: מתן שירות IGP one, לרבות סוכן ה־AI (בצ׳אט ובמצב הקולי), יצירת תוכן, פרסום, טיפול בתגובות, בהודעות ובתגובות לסטוריז, תהליכי מתגובה להודעה, מענה אוטומטי לתגובות לסטוריז, איסוף לידים, התראות ודיווח.

אופי העיבוד: איסוף דרך חשבונות מחוברים, אחסון, ארגון, ניתוח באמצעות מודלי AI, יצירת תשובות ותוכן, שידור לפלטפורמות מחוברות ומחיקה.

משך העיבוד: תקופת המנוי של הלקוח ותקופת המחיקה המפורטת להלן.

נושאי המידע: אנשים שמתקשרים עם חשבון האינסטגרם המחובר של הלקוח (כמו מגיבים, שולחי הודעות, אנשים שמגיבים לסטוריז שלו ולידים), וחברי הצוות של הלקוח.

סוגי המידע: שמות משתמש, שמות ותמונות פרופיל, מזהים בפלטפורמה, תוכן הודעות, תגובות ותגובות לסטוריז, פרטי קשר ובקשות שאנשים משתפים, הערות ותגיות של לידים, שמות וכתובות אימייל של חברי הצוות, והיסטוריית הצ׳אט בסביבת העבודה (לרבות תמלולים של שיחות קוליות; האודיו של השיחות הקוליות מעובד בזמן אמת ואינו נשמר).

קטגוריות מיוחדות: לא מיועד לכך. אסור ללקוח להשתמש בשירות כדי לאסוף מידע מקטגוריות מיוחדות (מידע בעל רגישות מיוחדת), מידע רפואי, נתוני כרטיסי תשלום או מספרי תעודות זהות.

תדירות ההעברה: רציפה, כל עוד נעשה שימוש בשירות. שמירה: כמפורט בסעיף "מחיקה והחזרה". רשות הפיקוח המוסמכת לעניין ה־SCC: כפי שנקבעת לגבי הלקוח לפי סעיף 13. ספקי משנה (נספח III): כמפורט בעמוד ספקי המשנה שלנו.

הוראות הלקוח

IGP one מעבדת את המידע האישי של הלקוח רק לפי הוראות מתועדות של הלקוח, לרבות לגבי העברות מידע בינלאומיות, אלא אם הדין מחייב אחרת; במקרה כזה IGP one תודיע על כך ללקוח לפני העיבוד, אלא אם הדין אוסר זאת. התנאים, הסכם זה ואופן ההגדרה והשימוש של הלקוח בשירות הם אותן הוראות. IGP one תודיע ללקוח אם היא סבורה שהוראה מסוימת מפרה את דיני הגנת המידע.

הלקוח אחראי לכך שיהיה לו בסיס חוקי ושימסור לנושאי המידע את ההודעות הנדרשות, לרבות על כך שנעשה שימוש בתשובות אוטומטיות ובתשובות הנעזרות ב־AI.

סודיות

IGP one מבטיחה שכל מי שמורשה לעבד את המידע האישי של הלקוח כפוף לחובת סודיות, וניגש אליו רק במידה הנדרשת לצורך מתן השירות והתמיכה בו.

אבטחת מידע (נספח II)

IGP one מיישמת אמצעים טכניים וארגוניים מתאימים, לרבות: הצפנה בהעברה ובאחסון; אחסון ראשי של המידע האישי של הלקוח באיחוד האירופי; הפרדה לוגית בין לקוחות באמצעות אבטחה ברמת השורה (row-level security); הצפנה ברמת השדה של טוקני גישה לרשתות חברתיות בכספת; הרשאות לפי תפקיד; התחברות יחידה (SSO) ובקרות גישה לכלים פנימיים; יומני ביקורת; גיבויים יומיים עם שחזורים שנבדקו; וניטור רציף של שגיאות וזמינות. יומני השירות, שאינם כוללים תוכן הודעות, נשמרים אצל Better Stack בארצות הברית. עמוד האבטחה שלנו מתאר אמצעים אלה, והוא עשוי להתעדכן, ובלבד שרמת ההגנה הכוללת לא תפחת.

ספקי משנה

הלקוח מעניק ל־IGP one הרשאה כללית להשתמש בספקי המשנה (subprocessors) המפורטים בעמוד ספקי המשנה שלנו.

IGP one מודיעה לפחות 30 יום מראש לפני הוספה או החלפה של ספק משנה שמעבד את המידע האישי של הלקוח, באמצעות עדכון העמוד ושליחת אימייל לבעלי החשבונות. הלקוח רשאי להתנגד מטעמים סבירים של הגנת מידע בתוך תקופה זו. אם לא נוכל לתת מענה סביר להתנגדות, הלקוח רשאי לסיים את החלק הרלוונטי בשירות ולקבל החזר של התשלום מראש בגינו.

IGP one מטילה על כל ספק משנה חובות הגנת מידע שאינן פחות מגינות מהסכם זה, ונשארת אחראית לספקי המשנה שלה.

העברות מידע בינלאומיות

המידע האישי של הלקוח מאוחסן באיחוד האירופי. IGP one עשויה לגשת אליו מאיחוד האמירויות הערביות, והוא עשוי להיות מעובד בארצות הברית על ידי ספקי AI וספקי משנה אחרים.

לגבי העברות של מידע אישי הכפוף ל־GDPR למדינה שאין לגביה החלטת הלימות, הצדדים מסכימים לסעיפים החוזיים התקניים (SCC) שאומצו בהחלטת היישום של הנציבות (EU) 2021/914: מודול שני (מבעל שליטה למחזיק) בין הלקוח לבין IGP one, ומודול שלישי (ממחזיק למחזיק) בין IGP one לבין ספקי המשנה שלה במידת הצורך. סעיף 7 (סעיף ההצטרפות, docking) חל; האפשרות בסעיף 9(a) היא הרשאה כללית עם תקופת ההודעה שצוינה לעיל; הנוסח האופציונלי בסעיף 11 אינו חל; סעיפים 17 ו־18 כפופים לדין של אירלנד ויתבררו בבתי המשפט באירלנד. נספחים I ו־II הם הסעיפים שלעיל.

לגבי מידע מבריטניה, חלה התוספת להעברת מידע בינלאומית (International Data Transfer Addendum) ל־SCC של האיחוד האירופי שפרסם נציב המידע הבריטי, כשטבלאות 1 עד 3 מושלמות על פי הסכם זה וה־SCC. לגבי מידע משווייץ, ה־SCC חלים כשההפניות בהם נקראות כהפניות לחוק הפדרלי השווייצרי להגנת מידע, והנציב הפדרלי השווייצרי להגנת מידע ולמידע (FDPIC) הוא רשות מוסמכת.

כשספק משנה מאושר במסגרת פרטיות המידע בין האיחוד האירופי לארה״ב (EU-U.S. Data Privacy Framework), ניתן להסתמך על מסגרת זו במקום.

העברות הכפופות לחוק ה־PDPL של איחוד האמירויות או לדין הישראלי מתבצעות לפי כללי ההעברה של אותם דינים, לרבות אמצעי הגנה חוזיים.

אם IGP one מקבלת מרשות ציבורית דרישה מחייבת לפי דין למסירת מידע אישי של הלקוח, היא תודיע על כך ללקוח במקום שבו הדין מתיר זאת, תתנגד לדרישה כשיש לכך טעמים סבירים, ותמסור רק את המינימום הנדרש.

סיוע ללקוח

IGP one מסייעת ללקוח להשיב לבקשות של נושאי מידע, בעיקר באמצעות כלים לשירות עצמי לעיון, ייצוא, תיקון ומחיקה. אם IGP one מקבלת בקשה ישירות, היא מעבירה אותה ללקוח ללא דיחוי מיותר ואינה משיבה עליה, אלא לפי הוראות הלקוח או כנדרש לפי דין.

IGP one מספקת סיוע סביר לעמידת הלקוח בחובותיו בנושאי אבטחה, הודעה על אירועי אבטחה, תסקירי השפעה על הגנת מידע (DPIA) והתייעצות מוקדמת עם רשויות (סעיפים 32 עד 36 ל־GDPR), על סמך המידע הזמין לה, ומנהלת רישום של פעולות העיבוד שהיא מבצעת עבור הלקוח.

אירועי אבטחה במידע אישי

IGP one מודיעה ללקוח ללא דיחוי מיותר, ובכל מקרה בתוך 48 שעות מרגע שנודע לה על אירוע אבטחה במידע אישי שנוגע למידע האישי של הלקוח. ההודעה מתארת מה קרה, את המידע והאנשים שנפגעו, את ההשלכות הצפויות ואת האמצעים שננקטו או שמוצעים, ומתעדכנת ככל שמתברר מידע נוסף.

IGP one אינה מודיעה לרשויות או לנושאי המידע בשם הלקוח, אלא אם הלקוח מבקש זאת או שהדין מחייב זאת.

מחיקה והחזרה

הלקוח יכול לייצא את המידע האישי של הלקוח בכל עת במהלך המנוי ובמשך 30 יום לאחר סיומו. לפי בחירת הלקוח, המידע מוחזר באמצעות ייצוא או נמחק: לאחר שהלקוח מוחק את חשבונו, או 30 יום לאחר סיום ההתקשרות, IGP one מוחקת את המידע האישי של הלקוח, והוא מוסר מהגיבויים המתחלפים בתוך 35 ימים נוספים, אלא אם הדין מחייב שמירה לתקופה ארוכה יותר.

כל עוד אינסטגרם מחובר, הודעות ותגובות נשמרות 12 חודשים מהפעילות האחרונה בשיחה, ורשומות לידים נשמרות כל עוד החשבון של הלקוח קיים ואינסטגרם נשאר מחובר. כשהלקוח מנתק את אינסטגרם, טוקן הגישה נמחק מיד, והמידע שהתקבל דרך החיבור נמחק בתוך 30 יום, אלא אם החשבון מחובר מחדש בתוך פרק זמן זה.

ביקורות

IGP one מעמידה לרשות הלקוח את המידע הנדרש באופן סביר כדי להראות עמידה בהסכם זה, לרבות תשובות בכתב לשאלוני אבטחה פעם בשנה. אם הדבר אינו מספיק, או אם רשות מחייבת זאת, הלקוח רשאי לערוך ביקורת פעם בשנה, בהודעה של 30 יום מראש, בשעות העבודה, באמצעות מבקר בלתי תלוי הכפוף לחובת סודיות, ועל חשבון הלקוח.

חוקי הפרטיות של מדינות ארה״ב

לעניין ה־CCPA/CPRA וחוקים דומים של מדינות ארה״ב, IGP one פועלת כנותנת שירות (service provider) או כמעבד (processor). היא לא תמכור ולא תשתף את המידע האישי של הלקוח, לא תשמור, תשתמש או תמסור אותו מחוץ למסגרת הקשר העסקי הישיר או לכל מטרה אחרת מלבד מתן השירות, לא תשלב אותו עם מידע אחר אלא כפי שחוקים אלה מתירים, ותודיע ללקוח אם לא תוכל עוד לעמוד בחובות אלה. IGP one מצהירה שהיא מבינה הגבלות אלה ותפעל לפיהן.

איחוד האמירויות וישראל

לגבי מידע אישי של הלקוח הכפוף לחוק ה־PDPL של איחוד האמירויות, IGP one מעבדת אותו רק לפי הוראות, שומרת על סודיותו ואבטחתו, מודיעה על אירועי אבטחה כמפורט לעיל ומוחקת אותו בתום העיבוד. לגבי מידע הכפוף לחוק הגנת הפרטיות בישראל ולתקנות אבטחת המידע שמכוחו, IGP one עומדת בחובות של מחזיק המעבד מידע עבור הלקוח, לרבות אמצעי אבטחה, סודיות, דיווח ללקוח על אירועי אבטחה והחזרה או מחיקה של המידע בתום ההתקשרות.

אחריות ותקופה

האחריות של כל צד לפי הסכם זה כפופה להגבלות שבתנאים, למעט במקום שבו הדין או ה־SCC אינם מתירים זאת. הסכם זה עומד בתוקפו כל עוד IGP one מעבדת את המידע האישי של הלקוח.

יצירת קשר

שאלות בנושא הגנת מידע: [email protected]. עותקים חתומים והודעות משפטיות: [email protected].