אבטחת מידע והגנת הפרטיות DPA

הסכם אבטחת מידע והגנת הפרטיות - DPA

הסכם אבטחת מידע והגנת פרטיות ("הסכם עיבוד מידע") הינו חלק בלתי נפרד מתנאי השימוש הזמינים כאן ("תנאי השימוש"), ויחול על כל ההתקשרויות בהן חתימה ירוקה בע"מ ("הספק" ו/או "ספק השירותים") עשויה לעבד "מידע אישי" (כמוגדר בהמשך) עבור משתמשי התוכנה, שירותים ומערכות אותם מספק הספק  (להלן, ביחד או לחוד "הלקוח").

הואיל     ובמסגרת תנאי השימוש ספק השירותים מספק ללקוח שירותים שבמסגרתם ולצורך אספקתם, ספק השירותים עשוי לעבד מידע אישי  (כמוגדר מטה) מטעם הלקוח;

והואיל    ובמסגרת הסכם עיבוד מידע זה הצדדים מעוניינים להסדיר את חובות והתחייבויות הצדדים בכל הנוגע לעיבוד המידע, לרבות השימוש במידע, העברתו, וכן אבטחת מידע, לכל אורך תקופת ההתקשרות ולאחר סיומה.

לפיכך הותנה, הוצהר והוסכם בין הצדדים כדלקמן: הסכם עיבוד מידע זה, מסדיר את חובות והתחייבויות ספק השירותים בכל הנוגע לעיבוד המידע ולאבטחת מידע בהקשר לשירותים לכל אורך תקופת ההסכם ו/או מתן השירותים ואף לאחר סיומם.

א. הגדרות

משמעותם של המונחים הבאים לצורכי הסכם עיבוד מידע זה, תהא כמפורט להלן:

• "חוקי הגנת הפרטיות" משמע, כל החוקים החלים על הגנת הפרטיות ואבטחת מידע אישי במדינת ישראל (ו/או מחוצה לה, ככל וחלים על המידע האישי של הלקוח), לרבות, ללא הגבלה: (א) חוק הגנת הפרטיות, התשמ"א -1981 ולרבות בנוסחו כפי שתוקן תחת תיקון 13 מיום 14.8.24 ("חוק הגנת הפרטיות"); (ב) התקנות שהותקנו ו/או יותקנו מכוח חוק הגנת הפרטיות לרבות תקנות הגנת הפרטיות (אבטחת מידע), תשע"ז-2017 ("תקנות אבטחת מידע") ותקנות הגנת הפרטיות (העברת מידע אל מאגרי מידע שמחוץ לגבולות המדינה), תשס"א-2001 ("תקנות העברת מידע"); (ג) הוראות ו/או הנחיות הרשות להגנת הפרטיות וכן כל פרשנות שיפוטית ו/או מנהלית של הנ"ל; (ד) כל שינוי ו/או תיקון לחוקי הגנת הפרטיות לעיל החל מהמועד הקובע.
• משמעות המונחים "אירוע אבטחה, "אירוע אבטחה חמור", "אבטחת מידע", "בעל שליטה במאגר מידע"', "מאגר מידע", "מזהה ביומטרי", "מחזיק", "מידע אישי", מידע בעל רגישות מיוחדת", "עיבוד" ו"שימוש", "שירותי דיוור ישיר" ו"שלמות המידע" תהא כהגדרתם בחוק הגנת הפרטיות ו/או תקנות אבטחת מידע ו/או חוק שירותי מידע פיננסי, 2021. בהסכם עיבוד מידע זה, המונח "מידע אישי" יתייחס גם ל"מידע בעל רגישות מיוחדת" במידת הצורך, והמונח "מחזיק" יתייחס גם ל"ספק מיקור חוץ" כהגדרתו בתקנות אבטחת מידע. יובהר כי "מידע בעל רגישות מיוחדת" כולל את המידע הפיננסי.
• "המידע האישי" או "מידע אישי של הלקוח" פירושו כל מידע אישי שהספק מעבד עבור הלקוח, ולרבות, ללא הגבלה ולפי הרלוונטי לשירותים, אשר הועבר ו/או יועבר לספק או שניתן לספק גישה אליו על ידי הלקוח ו/או מי מטעמה, וכן מידע אישי שנאסף, נצבר, נוצר או התקבל אצל הספק במסגרת מתן השירותים ללקוח, ולרבות כמפורט בנספח "א" להסכם עיבוד מידע זה. מובהר כי הגדרה זו אינה כוללת מידע אשר מעובד על ידי ספק השירותים בתפקידו כבעל שליטה במאגר מידע.
• "מערכות הלקוח" משמע, מערכות (לרבות מחשוב, תוכנה וחומרה) ו/או מאגרי המידע ו/או נכסי המידע של הלקוח, אליהם עשוי לקבל הספק גישה במסגרת השירותים, לרבות במסגרת התחברות מרחוק ו/או ממשקים למערכות הספק.
• "מערכות הספק" משמע, כל מערכת ו/או תוכנה ו/או טכנולוגיה ו/או ממשק אשר יסופקו על ידי הספק לשימוש החברה במסגרת מתן השירותים, ולרבות טכנולוגיה תפעולית ("OT"), שירותי ענן, SAAS, וכדומה.
• "נושא המידע" פירושו אדם אשר המידע האישי אודותיו מעובד על ידי ספק השירותים.

ב. מטרה והיקף עיבוד המידע, סוגי המידע והרשאות גישה

• • מוסכם ומובהר בין הצדדים כי, במערכת היחסים בין הלקוח לספק השירותים, בקשר לעיבוד המידע האישי הלקוח הינו בעל השליטה במאגר המידע ביחס למידע אשר הספק מעבד עבורו, והספק הינו מחזיק.
  • הספק מתחייב לעבד את המידע האישי בכפוף להוראות להלן:
    • ספק השירותים יעבד את סוגי המידע האישי הנדרשים לצורך אספקת השירותים וכמפורט בנספח "א" להסכם עיבוד מידע זה.
    • גישה למידע תינתן אך ורק למי אשר תפקידו מחייב גישה למידע, ואשר מחויב על פי דין או הסכם לשמור על פרטיות המידע ואשר מחויב למלא אחר תנאים דומים לנספח זה.
    • הספק יעבד את המידע האישי לצורך מתן השירותים בלבד, לרבות מתן שירותי תמיכה, אבטחת מידע ושיפור השירותים.
  • כל עיבוד מידע יבוצע אך ורק לצרכים שתואמו מראש ובמסגרת מטרות המאגר.

ג. הצהרות והתחייבויות

• • הלקוח מצהיר ומתחייב כי המידע האישי אשר יועבר לספק השירותים או יידרש לעיבוד על ידו במסגרת הסכם עיבוד מידע זה, נאסף ו/או נצבר על ידי הלקוח אך ורק בדרכים חוקיות ובהתאם להוראות חוקי הגנת הפרטיות, לרבות עמידה בחובת הגילוי, הודעה או קבלת הסכמה מנושאי המידע לפני איסוף המידע האישי. מובהר כי ספק השירותים לא יידרש לעבד, בכל דרך, מידע אישי של הלקוח אשר נאסף, נשמר או הועבר אליו שלא כדין או בניגוד להוראות הדין
  • ספק השירותים מצהיר ומתחייב בזאת, כי הוא בעל ניסיון קודם בעיבוד מידע, ויש לו את היכולת, ידע ורקע בתחום ביצוע השירותים, כפי שהוגדרו בהסכם בין הצדדים, וכי לא קיים כל חשש לניגוד עניינים מובנה או סיכון אחר לשימוש פסול במידע על ידיו או על ידי מי מטעמו
  • הספק מתחייב להחזקת המידע הפיננסי כמחזיק, בהתאם לדרישות הדין, לרבות לפי סעיף 27 לחוק שירותי מידע פיננסי, 2021.

ד. ספקי משנה מטעם ספק השירותים

• • במידה וספק השירותים יתקשר עם ספקי מיקור חוץ במטרה לספק את השירותים, כולם או חלק מהם ("ספקי משנה"), ספק השירותים מתחייב להתקשר עם ספקי המשנה בהסכם בכתב המחייב את ספקי המשנה לעמוד בהוראות דומות להסכם עיבוד מידע זה והוראות חוקי הגנת הפרטיות, לרבות כנדרש תחת תקנה 15 לתקנות אבטחת מידע.
  • הספק מתחייב להדריך את ספקי המשנה בכל הנוגע למתן השירותים ובכלל זה הגישה למידע ו/או מטרות השימוש במידע ויוכיח לחברה מעת לעת את האמור.

ה. התחייבויות אבטחת מידע

• • ספק השירותים יטמיע ויבטיח את קיומם של אמצעי אבטחת מידע, טכנולוגיים וארגוניים מתאימים במערכות המידע המשמשות למתן השירותים ו/או עיבוד המידע, וזאת על מנת להגן על הגישה למידע, שלמות המידע האישי, סודיות המידע והגנה מפני עיבוד ללא הרשאה ו/או שלא כדין. אמצעי אבטחה אלו יהיו תואמים לנדרש עפ"י חוקי הגנת הפרטיות ותקנות אבטחת מידע ומותאמות לרמת האבטחה של מאגר המידע.
  • ספק השירותים מתחייב כי הוא ו/או מי מטעמו לא יגלו מידע שהגיע אליהם בתוקף תפקידם כעובד, כמנהל, כמחזיק או כנותן שירות אחר הכרוך בעיבוד המידע, אלא לצורך השימוש המורשה, ובכפוף להוראות הסכם עיבוד מידע זה.
  • הספק מתחייב כי יבצע הדרכות לכל מורשי הגישה למידע מטעמו בדבר השימוש המורשה, הוראות חוקי הגנת הפרטיות, אבטחת מידע וההתחייבויות ו/או הגבלות תחת הסכם עיבוד מידע זה. הדרכות כאמור יבוצעו בטרם מתן גישה וכן באופן תקופתי, בהתאם לדרישות חוקי הגנת הפרטיות.
  • הספק מתחייב למנות ממונה אבטחת מידע, בהתאם וככל ונדרש תחת חוקי הגנת הפרטיות ו/או חוק שירות מידע פיננסי, תשפ"ב-2021.
  • במידה ובמסגרת השירותים ולצורך אספקתם תינתן לספק השירותים גישה למערכות הלקוח, הספק יהא רשאי לגשת רק למערכות הלקוח המאושרות על ידי הלקוח, אלא אם ניתנה הרשאה פרטנית למערכת אחרת מטעם נציג הספק.
  • ספק השירותים מתחייב לשמור את המידע האישי של הלקוח בהפרדה (לוגית) מכל מידע של לקוח אחר של ספק השירותים, וכן מהמידע הפנימי של ספק השירותים.
  • תקשורת בין הספק והלקוח תיעשה בפרוטוקול סטנדרטי ובתעבורה מוצפנת על פי הטכנולוגיות העדכניות הקיימות בשוק.
  • הספק ישמור תיעוד של הגישה למידע האישי של הלקוח (log) כנדרש על פי חוק הגנת הפרטיות ותקנות אבטחת מידע.

ו. אירוע אבטחה

• • ספק השירותים ידווח ללקוח על אירוע אבטחה חמור וודאי מיד לאחר שנודע לספק השירותים על אירוע האבטחה החמור וללא כל דיחוי. הדיווח יכלול את כלל המידע הידוע לספק השירותים על היקף האירוע, נסיבותיו, וככל ואירוע האבטחה נוגע למידע האישי של הלקוח, ידווח גם על אודות היקף נושאי המידע, סוג ופרטי המידע האישי וכן, כל פרט מידע אחר הרלוונטי ודרוש ללקוח לצורך תחקור האירוע, הכלתו ו/או מניעתו וכן עמידת הלקוח בהוראות הדין החלות עליה.
  • הספק לא יגלה ו/או יפרסם ו/או ידווח על אירוע האבטחה בהקשר למידע הלקוח ללא הסכמת הלקוח מראש ובכתב, אלא אם נדרש אחרת תחת הוראות הדין החל (לרבות תחת לחוק שירות מידע פיננסי, התשפ"ב-2021) ובמקרה כאמור, יעדכן את הלקוח מראש וישתף פעולה עם הלקוח בהקשר להיקף ואופן הגילוי ו/או הדיווח בכל הנוגע למידע של הלקוח.

ז. זכויות נושאי מידע ובקשות מטעם רשות מוסמכת

• • במידה ותתקבל אצל ספק השירותים בקשה מטעם רשות מוסמכת ו/או בקשת נושאי מידע, לרבות ביחס לזכות לעיון ו/או תיקון מידע אישי, יעדכן הספק את הלקוח בכתב ללא כל דיחוי ויצרף פרטים רלוונטיים.
  • ספק השירותים יאפשר לנושאי מידע זכות עיון וזכות תיקון בהתאם לדרישות הדין, ספק השירותים ישתף פעולה עם הלקוח ויסייע ללקוח למלא אחר דרישות הדין ביחס לזכויות נושאי משרה וקיום חובותיה תחת חוקי הגנת הפרטיות.

ח. דיווח

• • ספק השירותים ידווח ללקוח, אחת לשנה ו/או לבקשתו הסבירה של הלקוח על אודות אופן ביצוע חובותיו לפי חוקי הגנת הפרטיות והסכם עיבוד מידע זה. לבקשת הלקוח אשר תועבר מראש ובכתב, ספק השירותים יספק מידע נוסף, ככל ונדרש על מנת לוודא את קיום חובותיו של ספק השירותים.

ט. ביעור מידע תוקף וסיום

• • הספק ישמור את המידע שנאסף עבור ו/או בשם הלקוח כל עוד יש צורך בכך על מנת להגשים את המטרות שלשמן הועבר לספק. הספק יחזיר, ימחק או יבער את כל המידע מיד לאחר בקשת הלקוח בכתב או בסיום ההתקשרות ו/או הסכם עיבוד מידע זה, לפי המוקדם ביניהם. על אף האמור לעיל, ספק השירותים רשאי לשמור עותק מהמידע לצורך התגוננות בפני הליכים משפטיים ו/או בהתאם להוראות כל דין.
  • בנוסף לאמור לעיל, הספק מתחייב למחוק מיד ולצמיתות את נתוני הלקוח וכן את נתוני נותני ההרשאה, כולם או חלקם, לפי דרישת הלקוח ו/או נותן ההרשאה, אלא אם נדרש אחרת על פי דין (הן לעניין המחיקה ו/או לעניין שמירת המידע האישי של הלקוח).

י. העברת מידע אישי מחוץ לגבולות ישראל

• • ספק השירותים מתחייב כי ככל והמידע האישי של הלקוח יועבר (לרבות במסגרת אחסון ו/או מתן גישה) מחוץ לגבולות ישראל, העברת המידע תעשה בהתאם להוראות תקנות העברת המידע. בפרט, ספק השירותים מתחייב כי לא יועבר מידע אישי של הלקוח מחוץ לגבולות ישראל, אלא אם כן דין המדינה שאליה מועבר המידע, מבטיח רמת הגנה על מידע אישי שאינה פחותה מרמת ההגנה תחת חוקי הגנת הפרטיות ובכלל זה קובע את העקרונות תחת תקנה 1 לתקנות העברת מידע. כמו כן, מתחייב ספק השירותים להתקשר בהסכם בכתב עם הגורם אליו מועבר המידע, הכוללת התחייבויות לנקוט באמצעים הנדרשים לאבטחת המידע האישי של הלקוח והגנה על הפרטיות, שלמות המידע וסודיותיו, בהתאם להוראות הסכם עיבוד מידע זה וחוקי הגנת הפרטיות, ולרבות בהקשר להעברה למדינה אחרת.

נספח "א"

מידע מורשה, עיבוד ושימוש מורשים, מערכות הלקוח המורשות, מורשי גישה מאושרים, ספקי משנה ואנשי קשר

1. המידע מורשה ורמת אבטחה

• רמת האבטחה של מאגר המידע הינה בינונית או גבוהה בהתאם לכמות הנושאי המידע הנמצאים במאגר בהתאם לשיקול דעתו הבלעדי של הלקוח.
• המידע אשר ספק השירותים מורשה לעבד במסגרת השירותים, כפי שיועבר על ידי הלקוח ו/או ייאסף על ידי ספק השירותים, כולל מידע אישי של הלקוחות כגון שם, כתובת דוא"ל, מספר זהות, מחירים, וכן מידע נוסף שיסופק על ידי הלקוח

2. עיבוד ושימוש מורשים

• השימוש במידע המורשה יעשה לצורך מתן השירותים המפורטים בתנאי השימוש וכפי שמצוין במדיניות הפרטיות
• שירותי דיוור ישיר.
• ספק השירותים רשאי לבצע את פעולות עיבוד המידע להלן: איסוף, אחסון, סידור, ניתוח , שינוי, תיקון, שחזור, העברה, גילוי ו/או כל פעולת עיבוד נוספת שהינה הכרחית לאספקת השירותים.3. מערכות הלקוח ומורשי גישה מאושרים

• מערכות הלקוח אליהן ניתן לספק השירותים גישה מאת הלקוח במסגרת מתן השירותים תהה בהתאם לבחירת הלקוח ועל פי האינטגרציות הקיימות במערכות ספק השירותים
• הרשאות הגישה מטעם ספק השירותים למערכות הלקוח יינתנו על בסיס need-to-know כנדרש למתן השירותים ובהתאם להוראות הסכם עיבוד המידעאיש קשר מטעם הספק:

אמיתי סיטון  support@2sign.co.il