הסכם עיבוד נתונים (DPA)

ההסכם הזה הוא חלק מהזמנת האנטרפרייז (Order Form) בין הלקוח לבין יואב רובין, מס' [להשלמה: מספר עוסק], שמפעיל את Ensemble ("אנחנו").

לגבי מידע אישי שהלקוח מעלה ל-Ensemble או מכניס אליו: הלקוח הוא בעל המאגר (ובלשון ה-GDPR, ה-Controller), ואנחנו מחזיקים ומעבדים את המידע בשבילו (Processor). לגבי פרטי המשתמשים בחשבון עצמו (מייל, חיוב), אנחנו בעלי המאגר לפי מדיניות הפרטיות.

נעבד את המידע רק לפי ההזמנה, התנאים וההוראות הכתובות של הלקוח (כולל הפעולות שהלקוח מבצע במוצר). לא נשתמש במידע לצרכים שלנו, לא נמכור אותו, ולא נשתמש בו לאימון מודלים. אם לדעתנו הוראה סותרת את הדין, נודיע ללקוח.

אנשים שמטפלים במידע בצד שלנו מחויבים בסודיות.

ננקוט אמצעים סבירים ומקובלים, ולפחות אלה, ברוח תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017, כולל ההוראות לגבי מיקור חוץ:

• הצפנה בתעבורה (HTTPS/TLS) בכל חיבור, והצפנה במנוחה אצל ספקי התשתית.
• בידוד נתונים לפי חשבון: כל שאילתה מסוננת לפי הלקוח, וגישה לחשבון אחר מחזירה "לא נמצא".
• מפתחות API נשמרים כגיבוב בלבד; סודות שרת לא נחשפים לדפדפן.
• הרשאות מינימליות לצוות, ורישום של פעולות ניהול רגישות.
• גיבויים אצל ספק מסד הנתונים, ובדיקת תלויות קוד.

[להשלמה: נוהל אבטחת מידע כתוב ומסמך הגדרות מאגר — יואב, לפני הלקוח הראשון]

הלקוח מאשר את ספקי-המשנה שבטבלה. על ספק-משנה חדש נודיע 14 יום מראש במייל או בעמוד הזה. הלקוח רשאי להתנגד מטעם סביר; אם לא נמצא פתרון, הלקוח רשאי לסיים את ההזמנה ולקבל החזר יחסי על התקופה ששולמה ולא נוצלה. נחייב כל ספק-משנה בהתחייבויות הגנת מידע שאינן פחותות מאלה.

חלק מספקי-המשנה מעבדים מידע מחוץ לישראל (בעיקר באיחוד האירופי ובארה"ב). ההעברה נעשית לפי תקנות הגנת הפרטיות (העברת מידע אל מאגרי מידע שמחוץ לגבולות המדינה), התשס״א-2001, ובהתחייבות בכתב של הספק לשמור על המידע. כשהלקוח כפוף ל-GDPR, ההעברה מחוץ לאיחוד מתבססת על החלטת הלימות או על סעיפים חוזיים תקניים (SCC) של הספק.

אם נודע לנו על אירוע אבטחה שפוגע במידע של הלקוח, נודיע ללקוח ללא דיחוי, ולא יאוחר מ-48 שעות מרגע שנודע לנו [להשלמה: לאשר את פרק הזמן מול עו"ד], עם מה שידוע: מה קרה, איזה מידע, מה עשינו ומה מומלץ. נשתף פעולה עם הלקוח בדיווח לרשות להגנת הפרטיות ולנושאי המידע, כשהדין מחייב.

נעזור ללקוח, בכלים שבמוצר או לפי בקשה, לענות על בקשות לעיון, לתיקון או למחיקה של מידע. בקשה שתגיע אלינו ישירות תועבר ללקוח.

בסיום ההזמנה הלקוח יכול לייצא את התוצרים והנכסים במשך 30 יום. אחר כך נמחק את המידע מהמערכות הפעילות תוך 30 יום נוספים, ומהגיבויים במחזור הגיבוי הרגיל של הספק, אלא אם הדין מחייב לשמור (למשל מסמכי חיוב).

לפי בקשה סבירה נמסור ללקוח את המידע שנדרש כדי להראות עמידה בהסכם (שאלון אבטחה, רשימת ספקים, תיאור אמצעים). ביקורת במקום — פעם בשנה לכל היותר, בתיאום של 30 יום מראש, על חשבון הלקוח ובכפוף לסודיות.

האחריות לפי ההסכם הזה כפופה לתקרה שבהזמנה, למעט מה שהדין לא מאפשר להגביל. דין ישראל, וסמכות השיפוט לבתי המשפט המוסמכים בישראל. אם יש סתירה בין ההסכם הזה לתנאי השימוש בעניין הגנת מידע, ההסכם הזה גובר.