הסכם עיבוד מידע

מבוא

הסכם עיבוד מידע זה ("ההסכם") מהווה נספח בלתי נפרד מתנאי השימוש ומהסכם ההזמנה בין אלירן רוסטסקי, מספר עוסק 208904847, עמק חפר 33, מודיעין-מכבים-רעות, המפעיל את AquaVoice ("המעבד"), לבין הלקוח ("הבקר" או "בעל השליטה"), ונועד למלא אחר הדרישות הקבועות בתקנה 15 לתקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017, ביחס להתקשרות בין בעל שליטה במאגר מידע לבין גורם חיצוני המעבד מידע מטעמו.

הסכם זה מסדיר את התנאים שבהם המעבד מעבד מידע אישי מטעם הבקר במסגרת השימוש בפלטפורמה. במקרה של סתירה בין הוראות הסכם זה לבין תנאי השימוש בעניינים הנוגעים לעיבוד מידע אישי, יגברו הוראות הסכם זה; בכל עניין אחר, יחולו תנאי השימוש.

1. הגדרות

בהסכם זה, למונחים הבאים תהא המשמעות המפורטת לצידם:

• "מידע אישי" - מידע כהגדרתו בחוק הגנת הפרטיות, התשמ"א-1981 ("החוק"), המעובד על ידי המעבד מטעם הבקר במסגרת השירות, לרבות פרטי לקוחות קצה, תוכן שיחות, הקלטות ותמלוליהן.
• "בעל שליטה" או "הבקר" - הלקוח, כמי שקובע, לבדו או יחד עם אחר, את מטרות עיבוד המידע האישי של לקוחות הקצה שלו - הגדרה שהחליפה, במסגרת תיקון מס' 13 לחוק, את המונח "בעל מאגר מידע".
• "מעבד" - אלירן רוסטסקי, מספר עוסק 208904847, המפעיל את AquaVoice ומעבד מידע אישי מטעם הבקר ובהתאם להוראותיו בלבד, כהגדרת מונח זה בחוק לאחר תיקון מס' 13.
• "מחזיק" - מי שמאגר המידע, כולו או חלקו, מצוי דרך קבע ברשותו לצורך מתן שירות לבעל השליטה בו. ככל שייקבע כי המעבד הוא בגדר מחזיק ביחס למאגרי הלקוח, יחולו עליו גם החובות הישירות המוטלות על מחזיק לפי תקנות אבטחת המידע, לרבות חובת דיווח ישירה לרשות להגנת הפרטיות.
• "מעבד משנה" - כל צד שלישי המעורב בעיבוד מידע אישי מטעם המעבד, כמפורט בסעיף 7 להלן.
• "אירוע אבטחה חמור" - כהגדרתו בתקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017, בהתאם לרמת האבטחה החלה על המאגר.
• "דין הגנת המידע" - חוק הגנת הפרטיות, התשמ"א-1981, על תיקוניו (לרבות תיקון מס' 13, התשפ"ד-2024), התקנות שהותקנו מכוחו - ובכלל זה תקנות אבטחת המידע - וכל דין אחר החל על הגנת מידע אישי בישראל.

2. נושא ומטרת העיבוד

המעבד מעבד מידע אישי מטעם הבקר אך ורק לצורך אספקת השירות: ניהול לידים וקמפיינים, טלפוניה וחיוג, הקלטה ותמלול שיחות, ניתוח בינה מלאכותית של שיחות, תקשורת בערוצי WhatsApp ודוא"ל, ותפעול ותמיכה שוטפים.

משך העיבוד תואם את תקופת ההתקשרות בין הצדדים כמפורט בהסכם ההזמנה, ובכפוף להוראות סעיף 11 (השבה והשמדת מידע) להלן. נושאי המידע הם משתמשי הבקר (סוכנים, מנהלים) ולקוחות הקצה של הבקר, וסוגי המידע האישי המעובד כוללים פרטי זיהוי וקשר, תוכן תקשורת, ונתוני שימוש הקשורים לתהליך המכירה.

רמת האבטחה החלה על העיבוד (בסיסית, בינונית או גבוהה, כהגדרתן בתקנות אבטחת המידע) נגזרת מהיקף המידע ומאפייניו בפועל אצל הבקר הספציפי, ותיקבע בהסכם ההזמנה או בנספח טכני נלווה. ככל שלא נקבעה רמה מפורשת, יחולו על הצדדים החובות המתאימות לרמה הבינונית, כברירת מחדל זהירה.

3. הוראות הבקר

המעבד יעבד מידע אישי אך ורק בהתאם להוראות הבקר המתועדות - לרבות כפי שהן באות לידי ביטוי בהגדרות שהבקר עצמו קבע במערכת (קמפיינים, שדות מותאמים, כללי חיוג) - ולמטרות המפורטות בסעיף 2 לעיל בלבד.

מצא המעבד כי הוראה של הבקר מפרה, לדעתו הסבירה, את דין הגנת המידע, יודיע על כך לבקר ללא דיחוי, ורשאי להשעות את ביצוע ההוראה עד לבירור העניין. האחריות לוודא כי קיימת לבקר עילה כדין לעיבוד המידע האישי של לקוחות הקצה שלו - חלה על הבקר בלבד.

4. סודיות

המעבד מתחייב כי כל עובד, קבלן משנה או נציג מטעמו אשר לו גישה למידע האישי מחויב בהתחייבות סודיות מתאימה, ואינו מעבד את המידע האישי אלא לפי הצורך למילוי תפקידו. התחייבות הסודיות תוסיף לחול גם לאחר סיום ההעסקה אצל המעבד, ללא הגבלת זמן.

5. אבטחת מידע

המעבד ינקוט אמצעי אבטחה טכניים וארגוניים בהתאם לרמת האבטחה שנקבעה לפי סעיף 2 לעיל, בהתאם לתקנות אבטחת המידע, ובכלל זה הצפנת מידע בתעבורה, בקרת הרשאות גישה מבוססת-תפקיד, תיעוד גישה למידע, ותהליכי גיבוי סדירים.

המעבד ינהל מסמך הגדרות אבטחה ויעדכנו מעת לעת בהתאם להערכת סיכונים תקופתית, ויאפשר לבקר, לפי דרישה סבירה, לעיין בתמצית אמצעי האבטחה הרלוונטיים ליישום התחייבויותיו לפי הסכם זה.

6. סיוע לבקר

המעבד יסייע לבקר, ככל שהדבר סביר וניתן, במילוי חובותיו על פי דין הגנת המידע, ובכלל זה:

• מענה לפניות נושאי מידע בדבר עיון, תיקון או מחיקת מידע.
• הערכת השפעה על הגנת הפרטיות, ככל שנדרשת ביחס לעיבוד.
• דיווח לרשות להגנת הפרטיות או לנושאי מידע בעקבות אירוע אבטחה חמור, כמפורט בסעיף 9 להלן.

7. מעבדי משנה

הבקר נותן בזאת הרשאה כללית להשתמש במעבדי המשנה המפורטים בשמם, ולצד תפקידו של כל אחד, בסעיף 6 למדיניות הפרטיות של המעבד (https://aquavoice.co.il/privacy): ספקי תשתית הענן והאחסון (Vultr, BitLaunch, Cloudflare), ספק קווי הטלפון (פרטנר תקשורת), ספקי התמלול והבינה המלאכותית (Soniox, OpenRouter והמודלים שהוא מפעיל, Google), וספקי חיבור ה-WhatsApp (green-api, Kapso, WhatsApp של Meta). הרשימה שבמדיניות הפרטיות היא הרשימה המחייבת לעניין סעיף זה.

המעבד יודיע לבקר על כל שינוי מתוכנן ברשימת מעבדי המשנה זמן סביר מראש, ויאפשר לבקר להתנגד לשינוי מטעמים סבירים הנוגעים להגנת המידע. המעבד יתקשר עם כל מעבד משנה בהסכם הכולל התחייבויות הגנת מידע השוות לפחות לרמת ההתחייבויות בהסכם זה, ויישאר אחראי כלפי הבקר למעשי ומחדלי מעבדי המשנה מטעמו כאילו נעשו בידיו.

8. העברת מידע מחוץ לישראל

ככל שמעבד משנה מאחסן או מעבד מידע אישי מחוץ לישראל, יוודא המעבד כי מתקיימת רמת הגנה על המידע התואמת את הנדרש על פי דין הגנת המידע, לרבות באמצעות התקשרות חוזית מתאימה עם אותו מעבד משנה.

9. אירועי אבטחה חמורים

גילה המעבד אירוע אבטחה חמור הנוגע למידע אישי המעובד מטעם הבקר, יודיע על כך לבקר ללא דיחוי, ולא יאוחר מ-24 שעות ממועד גילוי האירוע - פרק זמן שנקבע כך שיאפשר לבקר לעמוד בחובת הדיווח המיידי שלו-עצמו, ככל שהיא חלה עליו, כלפי הרשות להגנת הפרטיות.

ההודעה תכלול, ככל שידוע באותו שלב: תיאור האירוע, סוגי המידע וקבוצות נושאי המידע המושפעים, הצעדים שננקטו או המתוכננים להקטנת הנזק, ופרטי איש קשר להמשך בירור. המעבד ישתף פעולה עם הבקר ככל הנדרש לצורך עמידתו בחובות הדיווח שלו, ולא יפרסם או ידווח על האירוע לצד שלישי בשם הבקר ללא תיאום עמו, למעט ככל שנדרש אחרת על פי דין.

ככל שייקבע כי המעבד הוא "מחזיק" (ולא רק "מעבד") ביחס למאגרי הבקר - קביעה התלויה באופן שבו המידע מוחזק בפועל אצל המעבד דרך קבע - עשויה לחול על המעבד חובת דיווח ישירה ועצמאית לרשות להגנת הפרטיות על אירוע אבטחה חמור, במקביל להודעה לבקר, ולא במקומה.

10. ביקורת

המעבד יעמיד לרשות הבקר, לפי דרישה סבירה ובתדירות סבירה (לא יותר מפעם בשנה, אלא אם התרחש אירוע אבטחה חמור), מידע ותיעוד סביר המעיד על עמידתו בהתחייבויותיו על פי הסכם זה. ביקורת פיזית באתרי המעבד, אם תידרש, תתואם מראש בכתב, ולא תפגע באופן בלתי סביר בפעילותו השוטפת או בהתחייבויות הסודיות שלו כלפי לקוחות אחרים.

11. השבה והשמדת מידע בסיום ההתקשרות

עם סיום ההתקשרות בין הצדדים, מכל עילה שהיא, יעמיד המעבד לרשות הבקר פרק זמן סביר, כאמור בתנאי השימוש, לייצוא מלוא המידע האישי בפורמט קריא ושמיש.

בתום פרק הזמן האמור, ישמיד המעבד את המידע האישי לצמיתות מכלל מערכותיו הפעילות (למעט ככל שנדרשת שמירתו לפי דין), ויודיע על כך לבקר בכתב, בציון מועד ההשמדה - בהתאם לדרישת תקנה 15 לתקנות אבטחת המידע. הורה הבקר למעבד בכתב להמשיך ולשמור את המידע עבורו, ישמור אותו המעבד בהתאם להוראה, והוראות הסכם זה ימשיכו לחול עליו כל עוד הוא שמור.

במהלך תקופת ההתקשרות המעבד אינו מוחק מידע אישי באופן אוטומטי בתום פרק זמן קבוע. מחיקה לצמיתות של מידע מסוים, או תקופת שמירה קצרה יותר, יבוצעו לפי הוראת הבקר בכתב, והמעבד יאשר לבקר בכתב את ביצועה. מחיקת רשומה בידי משתמש במערכת מסירה אותה מהמסכים ואינה מהווה השמדה לצמיתות.

12. אחריות

האחריות ההדדית של הצדדים ביחס להפרת הוראות הסכם זה כפופה למגבלות ולתנאי האחריות הקבועים בתנאי השימוש, אלא אם נקבע אחרת מפורשות בהסכם ההזמנה.

13. תוקף ומשך ההסכם

הסכם זה נכנס לתוקף במועד תחילת עיבוד מידע אישי על ידי המעבד מטעם הבקר, ויעמוד בתוקפו למשך כל תקופת ההתקשרות בין הצדדים, וכן לאחריה ככל שיידרש למימוש הוראות סעיף 11 לעיל.

14. כללי

הסכם זה כפוף לדין החל ולסמכות השיפוט הקבועים בתנאי השימוש. שינוי בהוראותיו ייעשה בכתב ובהסכמת שני הצדדים, למעט עדכון רשימת מעבדי המשנה כאמור בסעיף 7 לעיל.

15. יצירת קשר

לשאלות בנוגע להסכם זה ניתן לפנות אלינו בכתובת info@aquavoice.co.il. פרטי המעבד: אלירן רוסטסקי, מספר עוסק 208904847, עמק חפר 33, מודיעין-מכבים-רעות.