נספח עיבוד נתונים (DPA) – CRM

1.1 נספח זה מהווה חלק בלתי נפרד מן ההסכם (להלן: ״ההסכם״ או ״תנאי השימוש״). במקרה של סתירה בין המסמכים – יחול עקרון הקדימות שבסעיף 18 להסכם; ביחס להגנת פרטיות/אבטחת מידע – יסתמך הלקוח על נספח זה והוא יגבר.

1.2 הלקוח פועל כ-בקר מידע (Controller) והחברה כ-מעבדת מידע (Processor) ביחס ל-״נתוני הלקוח״ כהגדרתם בהסכם.

1.3 המטרה: עיבוד מידע אישי לשם אספקת השירותים לפי ההסכם, לרבות תמיכה, תחזוקה, אבטחה ושיפור תפעולי. מידע אישי עשוי להיות מעובד גם לצורך: הפקת סימולציות ותחשיבים, מילוי טפסים, יצירת מסמכי הנמקה, דוחות ייעוץ / טרום ייעוץ, דוחות חודשיים, סיכומי שיחות, חילוץ מידע ממסמכים והפקת תוצרים מבוססי AI/OCR ולא רק.

1.4 תחולה גאוגרפית: דיני ישראל (חוק הגנת הפרטיות, תשמ״א-1981 ותקנות הגנת הפרטיות (אבטחת מידע), תשע״ז-2017).

2.1 נושאי מידע (כפוף לשימוש הלקוח): לקוחות קצה (מבוטחים/עמיתים/נישומים/לווים וכדומה), לידים, מיופי כוח, בני משפחה/מוטבים, עובדי הלקוח, ומשתמשים מורשים.

2.2 קטגוריות מידע (לפי שימוש הלקוח, מינימום נדרש): פרטי זיהוי ותקשורת (שם, ת״ז, דרכון, כתובות, טלפון, דוא״ל), נתוני לקוח פיננסיים/ביטוחיים/פנסיוניים (מס׳ פוליסה, גוף מוסדי, כיסויים, דמי ניהול, היסטוריית פעולות), מסמכים ותיעוד פניות, לוגים תפעוליים, דוח שהופק, סימולציה שנשמרה, טופס שמולא, מסמך הנמקה שנוצר, פלט AI, הערות טיפול, לוג אישור, גרסת תבנית/נוסחה/פרמטרים.

2.3 מידע רגיש (ככל שהלקוח מזין/מייבא): מידע בריאותי/פנסיוני/ביומטרי/הרגלי צריכה – רק לפי דין, לפי בסיס חוקי מתאים ובהיקף מינימלי.

2.4 משך עיבוד: כל עוד נמשך ההסכם ולמשך תקופות שמירה כנדרש בחוק או לפי סעיף 10 להלן.

3.1 החברה תעבד מידע אישי אך ורק לפי הוראות מתועדות של הלקוח (כפי שעולות מההסכם, מהתצורה במערכת, מכרטיסי תמיכה או מהנחיות כתובות), למעט אם עיבוד נדרש לפי דין – ובמקרה כזה תינתן הודעה ללקוח אם הדבר אפשרי.

3.2 הוראות משתמשים מורשים. כל פעולה או הנחיה שניתנה במערכת על-ידי משתמש מורשה של הלקוח, לרבות עובד, רפרנט, מנהל משרד, סוכן משנה או קבלן משנה, תיחשב כהוראה מתועדת של הלקוח לחברה לצורך עיבוד המידע, בכפוף להרשאות שהוגדרו במערכת. הלקוח אחראי לניהול הרשאות המשתמשים מטעמו, לקביעת רמות הגישה, לפיקוח על פעולותיהם, לביטול גישה של משתמשים שאינם מוסמכים עוד, ולכך שכל שימוש במידע אישי על-ידי משתמשיו ייעשה כדין ובהתאם למטרות המותרות.

3.3 הלקוח מצהיר כי יש לו בסיס חוקי לעיבוד (הסכמה/חוק/חוזה/אינטרס לגיטימי), כי יידע את נושאי המידע כחוק, וכי לא ינחה את החברה לבצע עיבוד בלתי חוקי.

4.1 גישת עובדי החברה למידע אישי תוגבל לעקרון ״צורך לדעת״ ותותנה בהתחייבות סודיות מתאימה ובהדרכות פרטיות/אבטחה.

4.2 החברה תנהל רישום פנימי של פעילויות עיבוד כנדרש בדין.

5.1 החברה תיישם אמצעים סבירים מסחרית ובהלימה לדין.

6.1 עם היוודע אירוע אבטחה המשפיע מהותית על מידע אישי של הלקוח, החברה תודיע ללקוח בהקדם האפשרי וללא דיחוי בלתי סביר, ולא יאוחר מ-72 שעות ותמסור (ככל הידוע באותה עת): תיאור האירוע, סוגי נתונים, היקף מושפעים, השלכות, צעדי מיתון וצעדים מומלצים.

6.2 הצדדים ישתפו פעולה בחקירה, המיתון ובהודעות לרשויות/נושאי מידע; הלקוח אחראי על הודעות החובה כנגד נושאי המידע/רגולטור.

7.1 החברה תסייע ללקוח – ככל האפשר טכנית ובמידה סבירה – במענה לבקשות נושאי מידע (זכות עיון/תיקון/מחיקה/ניידות/הגבלה/התנגדות), לרבות מתן כלים לייצוא/חיפוש/מחיקה.

7.2 החברה תסייע ללקוח בעמידה בחובות/התייעצות רגולטוריות, ככל שנדרש וככל שניתן בפועל.

8.1 הלקוח מסמיך את החברה להסתייע בתתי-מעבדים לשם אספקת השירות, לרבות ספקי ענן, אחסון, דוא״ל, SMS, WhatsApp, טלפוניה, ניטור, אבטחת מידע, חתימה דיגיטלית, טפסים, חילוץ מידע ממסמכים (OCR), כלי AI , מודלי שפה, אוטומציה, תמיכה, תפעול וספקים נוספים הדרושים להפעלת השירות.

8.2 החברה תתקשר עם תתי-המעבדים בהסכם עיבוד מידע או בהתחייבויות חוזיות מתאימות, ברמת הגנה שאינה נופלת באופן מהותי מהוראות DPA זה.

8.3 החברה תפרסם/תעמיד לרשות הלקוח רשימה עדכנית של תתי-המעבדים ותמסור הודעה מוקדמת של 15 ימים לפני הוספת תת-מעבד חדש; הלקוח רשאי להתנגד מנימוקים סבירים.

8.4 מיקום עיבוד/אחסון: ישראל, גרמניה.

9.1 שימוש הלקוח בשירותי צד-שלישי (לרבות המסלקה הפנסיונית, הר הביטוח, ספקי תמסורת) כפוף לתנאיהם ולדין; הלקוח אחראי לקבלת הסכמות/הרשאות תקפות, לניהול ולתיעודן. חשיפת נתונים לספקים אלה תיחשב העברה על-ידי הלקוח; החברה תעביר מידע אליהם רק לפי הנחיות הלקוח ובמסגרת השילוב המובנה.

9.2 ככל שהלקוח משתמש במערכת לצורך שליחת דוחות, טפסים, מסמכים, סימולציות, מסמך הנמקה, דוחות ייעוץ, הודעות או תוצרים אחרים ללקוח קצה, ליצרן, לגוף מוסדי, למסלקה פנסיונית, להר הביטוח, לבנק או לכל צד שלישי אחר, שליחה כאמור תיחשב כעיבוד וכהעברת מידע לפי הוראת הלקוח. הלקוח אחראי לוודא כי קיימים בסיס חוקי, הרשאה, הסכמה, ייפוי כוח או חובה חוזית מתאימה לכל שליחה או חשיפה כאמור, וכי פרטי הנמען, תוכן המסמך והיקף המידע שנשלח נכונים, נחוצים ומותרים לפי דין.

9.3 החברה אינה אחראית לעיבוד המידע אצל מקבל המידע לאחר שנשלח לפי הוראת הלקוח, לרבות אצל יצרנים, גופים מוסדיים, לקוחות קצה או ספקי צד שלישי.

10.1 החברה תשמור מידע אישי רק כל עוד נדרש למתן השירות ולפי דין.

10.2 עם סיום ההתקשרות או לפי בקשת הלקוח, החברה תאפשר ייצוא נתונים; לאחר מכן תבצע מחיקה מסביבות ייצור בתוך 60 ימים ומחיקה/אנונימיזציה מהגיבויים במחזורם התקין (ללא שימוש שוטף), אלא אם השמירה נדרשת לפי דין או לצורך הגנה משפטית.

10.3 הלקוח אחראי להוריד/לשמר עותקים לצורכי ציות כדין.

10.4 שמירת תוצרים ולוגים. דוחות, טפסים, סימולציות, מסמכים מופקים, פלטי AI, סטטוסים, הערות טיפול, תיעוד אישורים, לוגים וגרסאות תבנית או נוסחה עשויים להישמר כחלק מנתוני הלקוח, לצורך הפעלת השירות, תיעוד פעולות, בקרה, אבטחת מידע, תמיכה, ייצוא, עמידה בדין והגנה מפני טענות. הלקוח אחראי לקבוע האם וכיצד לשמור עותקים של תוצרים לצורכי עמידה בחובותיו המקצועיות והרגולטוריות, לרבות חובות תיעוד, שמירת מסמכים וגילוי ללקוחות קצה. אין במחיקת מידע מן המערכת כדי לגרוע מחובת הלקוח לשמור מסמכים או תיעוד ככל שחובה זו חלה עליו לפי דין.

11.1 לפי בקשת הלקוח, ובתדירות שאינה עולה על אחת ל-12 חודשים (או במקרה של אירוע אבטחה מהותי), החברה תספק מידע סביר להוכחת ציותה (דוחות אבטחה, שאלוני אבטחה, תקני צד-שלישי רלוונטיים).

11.2 ביקורת באתר תיערך רק אם נדרש ולאחר מיצוי אמצעים חלופיים (שאלון/ראיות), בתיאום מראש של 45 ימים, בשעות עבודה, מבלי לחשוף סודות מסחריים/מידע של לקוחות אחרים, ועל חשבון הלקוח.

12.1 הלקוח יגדיר ויאכוף RBAC, MFA, מדיניות סיסמאות, ומדיניות שמירה/מחיקה.

12.2 הלקוח יבטיח בסיס חוקי לעיבוד (לרבות עיבוד מידע רגיש), ניסוח הודעות פרטיות, קבלת הסכמות, מענה לזכויות נושאי מידע ותיעוד פעולות.

12.3 הלקוח יימנע מהעלאת מידע החורג מן הנדרש, ולא יזין סודות/מפתחות/סיסמאות לתכונות AI—בניגוד לסעיף 11 להסכם.

12.4 הלקוח אחראי לכך שכל מידע אישי שיוזן, יועלה, יסונכרן, יעובד, ינותח, יישלח או יופק באמצעות המערכת יהיה מבוסס על בסיס חוקי מתאים, רלוונטי למטרת העיבוד, מדויק ככל שנדרש, עדכני, מינימלי ואינו חורג מהנדרש לצורך השירות.

12.5 הלקוח אחראי לבדוק את נכונות המידע והתוצרים לפני שימוש בהם מול לקוחות קצה או צדדים שלישיים, לרבות סימולציות, טפסים, דוחות, מסמך הנמקה, דוחות ייעוץ, דוחות טרום ייעוץ, דוחות חודשיים ותוצרים מבוססי AI/OCR.

12.6 הלקוח אחראי לוודא כי שימוש בכלים אוטומטיים, AI, OCR, סיווג, חילוץ מידע, מילוי אוטומטי, המלצות טכניות או תוצרים מופקים אינו גורם לעיבוד מידע בלתי חוקי, מידע עודף, הפליה, פגיעה בפרטיות, פגיעה בזכויות נושאי מידע או שימוש במידע מעבר למטרה שלשמה נאסף.

13.1 מגבלות האחריות לפי סעיף 16 להסכם יחולו, בכפוף להוראות דין.

13.2 הלקוח ישפה את החברה בגין נזק/קנס הנובעים מהוראות בלתי חוקיות/שגויות שלו או מעיבוד בלתי חוקי ביוזמתו.

13.3 נספח זה יגבר על תנאי השימוש בכל הנוגע לעיבוד מידע אישי, אבטחה, תתי-מעבדים והעברות בינ״ל.

14.1 אחראי אבטחת מידע ופרטיות בחברה בדוא״ל support@shavve.io

14.2 הלקוח יגדיר איש קשר מטעמו וישלח את פרטי הקשר שלו עם הצטרפות לשירות.