חלק ו' - הסכם עיבוד מידע (DPA)

הסכם זה מהווה חלק בלתי נפרד מתנאי השימוש וחל על כל לקוח שהחברה מעבדת עבורו מידע אישי.

ו.1 תפקידים

הלקוח - בעל השליטה. Palmidos Ltd - מעבד. ביחס לנתוני החשבון של הלקוח עצמו, החברה היא בעלת שליטה ותחול מדיניות הפרטיות.

ו.2 נספח 1 - פרטי העיבוד

נושא: שירותי ניהול קמפיינים ופלטפורמת ChatAdsAI. משך: לתקופת ההתקשרות ועד להשלמת המחיקה או ההחזרה לפי סעיף ו.10. אופי ומטרה: הקמה, הרצה, אופטימיזציה ודיווח של קמפיינים; קליטה, אחסון, תצוגה, סיווג וייצוא של לידים; יצירת תוכן; תקשורת תפעולית. סוגי מידע: שם; דוא"ל; טלפון; שם העסק והתפקיד; תוכן הפנייה; נוסח ההסכמה לדיוור שהוצג לנושא המידע וחותמת הזמן שבה ניתנה; מזהי קמפיין; כתובת IP ומזהי מכשיר; נתוני אינטראקציה עם המודעה. נושאי מידע: לידים ופונים מקמפיינים; אנשי קשר מטעם הלקוח. מידע רגיש: הלקוח מתחייב שלא להעביר מידע רגיש כהגדרתו בחוק הגנת הפרטיות ובסעיף 9 ל-GDPR, למעט מידע שהעברתו אינה נמנעת מעצם אופי השירות כמפורט לעיל. החברה מסווגת את המאגר ברמת אבטחה בהתאם במסמך הגדרות המאגר.

ו.3 חובות המעבד

החברה:

(א) תעבד מידע אישי אך ורק לפי הוראות הלקוח המתועדות - לרבות ההוראות הגלומות בהסכם זה ובשימוש הלקוח בשירות - ובכלל זה לעניין העברה למדינה שלישית, אלא אם נדרשת אחרת בדין, ואז תודיע ללקוח מראש אלא אם הדין אוסר; (ב) תבטיח שכל מי שמורשה לעבד מחויב בסודיות; (ג) תנקוט אמצעי אבטחה לפי נספח 3; (ד) לא תעסיק ספק משנה אלא לפי סעיף ו.5; (ה) תסייע ללקוח באמצעים טכניים וארגוניים מתאימים במענה לבקשות נושאי מידע; (ו) תסייע ללקוח, בהתחשב באופי העיבוד ובמידע שברשותה, בקיום חובותיו לפי סעיפים 32–36 ל-GDPR; (ז) תמחק או תחזיר את המידע לפי בחירת הלקוח, לפי סעיף ו.10; (ח) תעמיד ללקוח את המידע הדרוש להוכחת עמידתה בחובותיה ותאפשר ביקורת לפי סעיף ו.9; (ט) תודיע ללקוח אם לדעתה הוראה שלו מפרה את הדין; (י) לא תעבד מידע אישי לכל מטרה משלה - לרבות פיתוח, אימון, benchmarking או יצירת תובנות - ולא תמכור, תשכיר או תשתף מידע אישי עם צד שלישי, אלא לפי הוראת הלקוח או כנדרש בדין; (יא) תנהל רישום פעילויות עיבוד לפי סעיף 30(2) ל-GDPR ותעמידו לעיון לפי דרישה; (יב) תקיים את חובותיה כמחזיק לפי תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017, לרבות תקנות 15 ו-19.

ו.4 חובות בעל השליטה

הלקוח מתחייב: (א) כי קיים בסיס חוקי תקף לאיסוף המידע ולהעברתו לחברה, לרבות הסכמות לדיוור כנדרש; (ב) כי מסר לנושאי המידע את ההודעות הנדרשות; (ג) לספק או לאשר בכתב את נוסח ההסכמה לדיוור המופיע בטופס הליד, ונוסח זה ייחשב הוראה מתועדת שלו; (ד) כי הוראותיו תואמות את הדין; (ה) לא להעביר מידע רגיש בניגוד לסעיף ו.2.

ו.4א זכויות בעל השליטה

ללקוח עומדות הזכויות: להורות על אופן העיבוד ולשנות את הוראותיו; לקבל תיעוד ולערוך ביקורת לפי ו.9; להתנגד לספק משנה לפי ו.5.3; לבחור בין מחיקה להחזרה לפי ו.10; לקבל סיוע לפי ו.7 ו-ו.8; ולקבל הודעה על אירוע אבטחה לפי ו.7.

ו.5 ספקי משנה

ו.5.1. הלקוח מעניק אישור כללי בכתב להעסקת ספקי המשנה שבנספח 2.

ו.5.2. החברה תודיע על תוספת או החלפה 30 יום מראש, בדוא"ל ובעמוד ספקי המשנה שאליו ניתן להירשם לעדכונים.

ו.5.3. הלקוח רשאי להתנגד מטעמים סבירים ומנומקים הנוגעים להגנת מידע, בתוך 15 יום. הצדדים יפעלו בתום לב למציאת פתרון. לא נמצא פתרון תוך 30 יום - רשאי הלקוח לסיים את ההתקשרות לאלתר, תקופת ההתחייבות תפקע, ותשולם לו השבה יחסית של דמי שירות ששולמו מראש. אין באמור כדי לגרוע מזכות החברה להחליף ספק מטעמי חירום או אבטחה, בהודעה ללא עיכוב.

ו.5.4. החברה תתקשר עם כל ספק משנה בתנאי הגנת מידע שאינם נופלים מאלה שבהסכם זה, ובכלל זה לפי תקנה 3 לתקנות העברת מידע לחו"ל, ותישאר אחראית במלואה כלפי הלקוח לביצועיו.

ו.6 העברות בינלאומיות

ו.6.1. החברה ממוקמת בישראל, שלגביה קיימת החלטת נאותות של הנציבות האירופית (אושרה מחדש ב-15.1.2024) והכרה מקבילה בבריטניה. העברה מה-EEA ומבריטניה לחברה אינה טעונה מנגנון נוסף כל עוד ההכרה בתוקף.

ו.6.2. מנגנון חלופי. בוטלה החלטת הנאותות, הושעתה או צומצמה באופן שאינו מכסה את ההעברות לפי הסכם זה - יחולו אוטומטית התניות החוזיות הסטנדרטיות שבהחלטת הנציבות (EU) 2021/914, מודול 2, המשולבות בזאת בהפניה, בכפוף להשלמות: (א) הלקוח - מייצא; החברה - מייבא; פרטי הצדדים כמפורט בחשבון הלקוח ובסעיף 32 לתנאי השימוש - Annex I.A; (ב) Clause 7 - חל; (ג) Clause 9 - Option 2, תקופת הודעה 30 יום; (ד) Clause 11(a) האופציונלי - אינו חל; (ה) Clause 17 - Option 1, דין אירלנד; (ו) Clause 18(b) - בתי המשפט באירלנד, מבלי לגרוע מ-Clause 18(c); (ז) Annex I.B - נספח 1; Annex I.C - רשות הפיקוח במדינת מושב הלקוח, ובהיעדרה ה-DPC האירית; Annex II - נספח 3; Annex III - נספח 2; (ח) בכל סתירה, התניות גוברות, וסעיפים 30 ו-ו.12 אינם חלים עליהן.

ו.6.3. להעברות מבריטניה - ה-UK International Data Transfer Addendum; משוויץ - ההתאמות הנדרשות.

ו.6.4. העברות מישראל. העברת מידע אישי מישראל לספק משנה מחוץ לישראל תיעשה לפי תקנות הגנת הפרטיות (העברת מידע אל מאגרי מידע שמחוץ לגבולות המדינה), התשס"א-2001, ובכלל זה התחייבות בכתב מהמקבל לפי תקנה 3. להעברה למדינה ללא החלטת נאותות אירופית - SCCs במודול 3 לפי Clause 8.8, והערכת השפעת העברה מתועדת. לבקשת הלקוח תמסור החברה תיאור המנגנון החל על כל ספק משנה.

ו.6.5. מידע שמקורו ב-EEA יטופל גם לפי תקנות הגנת הפרטיות (הוראות לעניין מידע שהועבר לישראל מהאזור הכלכלי האירופי), התשפ"ג-2023, לרבות הודעה לנושא המידע תוך 30 יום ככל שנדרשת.

ו.7 אירוע אבטחה

ו.7.1. החברה תודיע ללקוח על אירוע אבטחה הנוגע למידע שהיא מעבדת עבורו ללא עיכוב בלתי סביר, ובכל מקרה לא יאוחר מ-24 שעות ממועד שנודע לה עליו, בדוא"ל לאיש הקשר הרשום ובממשק.

ו.7.2. אם בתום 12 שעות טרם התבררו הנסיבות - תימסר הודעה ראשונית ותושלם בהמשך. ההודעה תכלול תיאור האירוע, קטגוריות והיקף המידע ונושאי המידע, ההשלכות הצפויות, הצעדים שננקטו, ואיש קשר.

ו.7.3. האחריות הפורמלית לדיווח לרשות הפיקוח ולנושאי המידע היא של הלקוח כבעל שליטה. החברה תסייע לו, ללא תשלום נוסף, במסירת מידע, תיעוד, כימות היקף וזיהוי נושאי מידע מושפעים. אין באמור כדי לגרוע מחובת החברה לדווח לרשות להגנת הפרטיות על אירוע אבטחה חמור במאגר שבבעלותה לפי תקנה 11(ד). הודעה אינה מהווה הודאה באחריות.

ו.8 בקשות נושאי מידע

ו.8.1. קיבלה החברה בקשה ישירות מנושא מידע - תפנה אותו ללקוח ותודיע ללקוח.

ו.8.2. החברה תסייע ללקוח באמצעים טכניים וארגוניים מתאימים, לרבות כלי הייצוא, העריכה והמחיקה שבשירות, ללא תשלום נוסף ובתוך פרק זמן המאפשר ללקוח לעמוד במועדי הדין. סיוע ידני החורג מהותית מהשימוש הרגיל - בתיאום ובתשלום סביר שיוסכם מראש.

ו.9 ביקורת

ו.9.1. החברה תעמיד ללקוח, לבקשתו ולא יותר מפעם ב-12 חודשים, תיעוד סביר להוכחת עמידתה בהסכם, לרבות תשובות לשאלון אבטחה ודוחות ביקורת צד שלישי ככל שקיימים.

ו.9.2. לא סיפק התיעוד מענה סביר להיבטים שהלקוח ביקש לבחון - רשאי הלקוח לערוך ביקורת באתר, בעצמו או באמצעות מבקר מטעמו, בהודעה של 30 יום, בשעות העסקים, לא יותר מפעם ב-12 חודשים (אלא אם נדרש בעקבות אירוע אבטחה או דרישת רשות), על חשבונו, בכפוף לסודיות ובאופן שלא יפגע במידה בלתי מידתית בפעילות החברה. החברה רשאית להתנגד למבקר מסוים מטעמים סבירים בכתב תוך 10 ימים, ואז יציע הלקוח מבקר חלופי.

ו.10 מחיקה והחזרה

ו.10.1. בתוך 30 יום מסיום ההתקשרות יודיע הלקוח אם ברצונו שהמידע יימחק או יוחזר. בהיעדר הודעה - מחיקה בתום 60 יום.

ו.10.2. בחר הלקוח בהחזרה - תמסור החברה את המידע בפורמט CSV או JSON ללא תשלום, ותמחק לאחר מכן.

ו.10.3. זכות הייצוא והמחיקה אינה מותנית בתשלום, בהיעדר חוב או בכל תנאי אחר.

ו.10.4. החברה רשאית לשמור מידע שהיא נדרשת לשמור בדין, בהיקף הנדרש בלבד. גיבויים יימחקו במחזור הגיבוי הרגיל ולא יאוחר מ-90 יום. על מידע שנשמר יוסיפו לחול חובות הסכם זה.

ו.10.5. לבקשת הלקוח - אישור מחיקה בכתב תוך 14 יום.

ו.11 אחריות

ו.11.1. אחריות הצדדים לפי הסכם זה כפופה לסעיף 22 לתנאי השימוש, למעט: (א) אחריות החברה כלפי נושאי מידע לפי סעיף 82 ל-GDPR, שאינה מוגבלת; (ב) אחריות החברה לפי סעיף 28(4) ל-GDPR למעשי ספקי משנה; (ג) זכות החזרה של הלקוח לפי סעיף 82(5) ל-GDPR בגין חלקה של החברה באירוע - שלגביהן תחול תקרה נפרדת ומצטברת בגובה הגבוה מבין דמי השירות ששולמו ב-24 החודשים שקדמו לאירוע או €50,000.

ו.11.2. אין באמור כדי להגביל אחריות שהדין אינו מתיר להגביל.

ו.12 דין

הדין הישראלי, למעט לעניין התניות החוזיות הסטנדרטיות אם וכאשר יחולו.

---

נספח 2 - ספקי משנה

גילוי לבעל שליטה עצמאי (אינו ספק משנה): פלטפורמת הפרסום של OpenAI מקבלת נתוני קמפיין כבעלת שליטה עצמאית, לפי תנאיה, בהתאם להרשאה שהלקוח עצמו נתן לה בחשבון המודעות שלו. הלקוח אחראי לבסיס החוקי להעברה זו.

מעבד נתוני חשבון בלבד (מדיניות פרטיות, לא DPA): ספק הסליקה.

נספח 3 - אמצעי אבטחה

בקרת גישה לפי תפקיד ועקרון המינימום · אימות דו-שלבי לגישה ניהולית · הסרת הרשאות מיידית בסיום העסקה · TLS 1.2+ בהעברה, הצפנה במנוחה · הפרדת סביבות · לוגים של גישה ופעולות ניהוליות · גיבויים מוצפנים ובדיקות שחזור · עדכוני אבטחה וסריקת תלויות · הסכמי סודיות והדרכת עובדים · בדיקת ספקי משנה · נוהל תגובה לאירוע · מסמך הגדרות מאגר לפי תקנה 2 לתקנות אבטחת מידע, נבדק ומתעדכן אחת לשנה, ובו מנהל המאגר, המחזיק וממונה אבטחת המידע · הערכה רבעונית של תחולת חובת מינוי ממונה הגנת פרטיות לפי היקף העיבוד המצטבר.