הסכם עיבוד מידע

1. הצדדים ותחולה

ההסכם הוא חלק מתנאי השימוש, ונכרת בין היועץ שפתח חשבון בקליק ("בעל המאגר" / "היועץ") לבין רוני קלרמן, עוסק פטור, המפעיל את קליק ("המעבד"). הוא חל על כל מידע אישי של לקוחות היועץ ושל אנשים אחרים שהמעבד מעבד מטעם היועץ במסגרת השירות ("המידע").

ההסכם נועד לעמוד בדרישות חוק הגנת הפרטיות, התשמ"א-1981, ותקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017, ובפרט תקנה 15 (מיקור חוץ).

2. מהות העיבוד

• מטרה: מתן השירות ליועץ (קבלת מסמכים מלקוחות, שמירתם, קריאה אוטומטית, ניהול תיק, תזכורות וייצוא).
• סוגי מידע: פרטים מזהים (שם, מספר זהות, טלפון, אימייל), מסמכים (תעודות, תלושי שכר, דפי חשבון, דוחות), נתונים פיננסיים ונתוני עסקה. חלק מהמידע הוא מידע בעל רגישות מיוחדת לפי החוק (כגון מידע על מצב כלכלי).
• נושאי המידע: לקוחות היועץ, ערבים, בני זוג ואנשים אחרים שמופיעים במסמכים.
• משך: כל עוד החשבון פעיל, ובתוספת תקופות השמירה שבסעיף 9.

3. עיבוד לפי הוראות היועץ בלבד

המעבד יעבד את המידע רק לפי הוראות היועץ, כפי שהן באות לידי ביטוי בשימוש בשירות ובהסכם, ולא ישתמש בו לכל מטרה אחרת: לא לשיווק, לא למכירה ולא לאימון מודלים. אם המעבד יידרש לפי דין לעבד מידע אחרת, יודיע ליועץ מראש ככל שהדין מתיר.

4. אבטחת מידע

המעבד מיישם אמצעי אבטחה המתאימים לרמת אבטחה בינונית לפחות לפי תקנות אבטחת מידע, ובהם:

• הצפנה בתעבורה (TLS) והצפנת שדות מזהים וקבצים במנוחה (AES-256-GCM), עם אינדקס חיפוש מגובב (blind index) כך שמספרי זהות לא נשמרים גלויים.
• אימות דו-שלבי או מפתח גישה (passkey) לכניסה בסיסמה, כניסה עם Google, נעילה אחרי ניסיונות כושלים, תוקף מוגבל לחיבור.
• הפרדה בין יועצים ובדיקת הרשאה בכל בקשה; גישת לקוח רק דרך קישור אישי עם תוקף.
• יומן ביקורת של כניסות ופעולות רגישות.
• גיבוי יומי מוצפן של מסד הנתונים באחסון נפרד באיחוד האירופי, עם נעילת מחיקה ל-30 יום ונוהל שחזור שנבדק.
• גישה של המעבד למידע רק כשהיא נדרשת לתמיכה או לטיפול בתקלה, ובהיקף המינימלי.

5. סודיות

המעבד וכל מי שפועל מטעמו מחויבים בסודיות לגבי המידע, גם אחרי סיום ההתקשרות.

6. מעבדי משנה

היועץ מאשר את מעבדי המשנה המפורטים במדיניות הפרטיות (סעיף 6): Cloudflare (אירוח, מסד נתונים, אחסון קבצים), Google Cloud (Vertex AI באיחוד האירופי, גיבויים, כניסה עם Google), SUMIT (סליקה), SmartNPV (רק כשהיועץ מחבר ושולח), ו-Resend (מיילים של אימות ואיפוס סיסמה ליועצים, אירלנד).

המעבד יתקשר עם מעבדי משנה בהסכמים שמטילים חובות הגנה דומות, ויעדכן את הרשימה באתר לפחות 14 יום לפני הוספת מעבד משנה חדש שמקבל מידע של לקוחות. יועץ שמתנגד רשאי לבטל את המנוי לפני מועד השינוי.

7. העברה לחו"ל

המידע נשמר ומעובד בעיקר באיחוד האירופי. העברה למדינה אחרת תיעשה רק לפי תקנות הגנת הפרטיות (העברת מידע למאגרי מידע שמחוץ לגבולות המדינה).

8. אירוע אבטחה

המעבד יודיע ליועץ ללא דיחוי, ולא יאוחר מ-72 שעות מרגע שנודע לו, על אירוע אבטחה חמור שנוגע למידע של היועץ, ימסור את הפרטים הידועים, ויסייע ליועץ לעמוד בחובות הדיווח שלו לרשות להגנת הפרטיות.

9. מחיקה והחזרה

בסיום ההתקשרות היועץ יכול לייצא את המידע. 30 יום אחרי סגירת החשבון המעבד ימחק את המידע מהמערכת הפעילה, וגיבויים מוצפנים יימחקו אוטומטית תוך 31 יום נוספים, אלא אם הדין מחייב שמירה.

10. סיוע וביקורת

המעבד יסייע ליועץ, במידה סבירה, לענות לבקשות עיון, תיקון ומחיקה של נושאי מידע, ויעביר ליועץ כל בקשה כזו שתגיע אליו ישירות.

המעבד ימסור ליועץ, לפי בקשה סבירה ולא יותר מפעם בשנה, דיווח בכתב על אופן העמידה בהסכם ובתקנות אבטחת מידע.

11. אחריות היועץ

היועץ אחראי לחוקיות האיסוף, למסירת הודעה ללקוחות ולקבלת הסכמתם כשנדרש, לרישום המאגר או לדיווח עליו ככל שהוא חייב בכך, ולמינוי ממונה הגנת פרטיות או אבטחת מידע אם הוא חייב בכך.

12. כללי

במקרה של סתירה בין ההסכם לתנאי השימוש לגבי עיבוד מידע אישי, ההסכם גובר. הגבלת האחריות שבתנאי השימוש חלה גם על ההסכם, ככל שהדין מתיר.