הסכם עיבוד נתונים זה ("DPA") הינו נספח להסכם בין החברה ללקוח, המתאר את תפקידיהם של הצדדים בהתאמה בעיבוד ובשליטה של הנתונים האישיים שהלקוח מספק לחברה כחלק משירות המנוי. כל מונח באות גדולה שאינו מוגדר במסמך זה יקבל את המשמעות המיוחסת לו בהסכם. הסכם עיבוד נתונים זה יסתיים אוטומטית עם סיום או פקיעת ההסכם. שום דבר בהסכם עיבוד נתונים זה לא ישפיע על יישום החוק והסמכות השיפוט החלים במסגרת ההסכם, החלים על כל התביעות המוגשות במסגרת ההסכם והסכם עיבוד נתונים זה.
1. הגדרות
“שותפים”"" פירושו כל ישות משפטית שצד שולט בה, השולטת בצד, או הנמצאת תחת שליטתו המשותפת. לצורכי הגדרה זו, "שליטה" פירושה יותר מזכויות בישות.
“הֶסכֵּם”"" פירושו ההסכם בין החברה ללקוח למתן שירות מנוי.
“חֶברָה”"" פירושו הישות המשפטית של החברה המזוהה בטופס ההזמנה ו/או ב-SOW הרלוונטיים.
“קבוצת החברה”"פירושו Dilicheck SL וחברות הבת שלה.
“לָקוּחַ”"" פירושו הישות המשפטית של הלקוח שזוהתה בטופס ההזמנה ו/או ב-SOW הרלוונטיים.
“חקיקת הגנת מידע”"ישמעו כל חוק, תקנה, הנחיה או הנחיה רלוונטיים המסדירים את ההגנה, העיבוד, האחסון, ההעברה או האבטחה של נתונים אישיים, פרטיות או זכויות נושאי נתונים בכל תחום שיפוט שבו הצדדים פועלים או מספקים שירותים. זה כולל, אך לא רק, את תקנת הגנת המידע הכללית (EU) 2016/679 ("GDPR של האיחוד האירופי"), וכל חוקי הגנת מידע או פרטיות רלוונטיים אחרים בעלי אופי דומה בכל תחום שיפוט שבו נתונים אישיים מעובדים במסגרת הסכם זה, וכל חוק ותקנה קיימים או עתידיים אחרים בעלי אופי דומה (הכל כפי שתוקנו, יעודכנו או יחוקקו מחדש מעת לעת).
“נושא הנתונים”"" פירושו כל אדם טבעי שניתן לזהותו, במישרין או בעקיפין, באמצעות שימוש במידע אישי, לרבות אך לא רק אנשים פרטיים כגון לקוחות, עובדים, משתמשים, קבלנים או כל אדם אחר הניתן לזיהוי.
“"“נתונים אישיים”"" פירושו כל מידע, בכל צורה שהיא, הקשור לאדם טבעי מזוהה או ניתן לזיהוי. אדם שניתן לזהותו הוא אדם שניתן לזהותו, במישרין או בעקיפין, באמצעות גורם אחד או יותר, לרבות אך לא רק שם, מספר זיהוי, נתוני מיקום, מזהה מקוון או גורמים ספציפיים לזהותו הפיזית, הפיזיולוגית, הגנטית, הנפשית, הכלכלית, התרבותית או החברתית.
“עיבוד”""פירושו כל פעולה או קבוצת פעולות המבוצעות על נתונים אישיים או על קבוצות של נתונים אישיים, בין אם באמצעים אוטומטיים ובין אם לאו, כגון איסוף, רישום, ארגון, מבנה, אחסון, התאמה או שינוי, אחזור, עיון, שימוש, גילוי באמצעות העברה, הפצה או העמדה לרשות בכל דרך אחרת, יישור או שילוב, הגבלה, מחיקה או השמדה.".
“סעיפים חוזיים סטנדרטיים”"" פירושו סעיפי החוזה הסטנדרטיים להעברות נתונים מבקרים באזור הכלכלי האירופי למעבדים הממוקמים מחוץ לאזור הכלכלי האירופי, שהונפקו על ידי הנציבות האירופית בתוקף נכון לתאריך הסכם עיבוד נתונים זה, כפי שנקבע ב http s : / / e ur – l ex . אירופה רופה . eu / l למשל אל –תוכן /EN / TXT /PDF /? uri = CELEX : 32021 D 0914
“מדינה שלישית”"פירושו כל מדינה שאין לה מערכת המבטיחה הגנה נאותה.
2. היקף הסכם הגנה על מידע
ביחס לכל מידע אישי שיסופק על ידי הלקוח לחברה כחלק מההסכם, החברה פועלת כמעבדת המידע והלקוח פועל כגורם האחראי על המידע.
3. עיבוד נתונים אישיים
- במידה שהחברה משמשת כמעבדת מידע הפועלת מטעם הלקוח, לצורך ההסכם:
- סוג המידע האישי וקטגוריות נושאי המידע הם: שם פרטי, שמות משפחה, כתובת דוא"ל, מספרי טלפון, כתובת דואר; ו
- אופי/מטרת העיבוד הוא לאפשר לחברה לספק שירותי נציגות באיחוד האירופי לפי סעיף 27 בתקנת ה-GDPR, לרבות טיפול וסיוע בבקשות נושא המידע, ומשך העיבוד יהיה כתנאי ההסכם.
- החברה תעמוד בהתחייבויותיה על פי חקיקת הגנת המידע, ובפרט:
- לעבד את הנתונים האישיים רק במידה הנדרשת למטרות המפורטות במסמך זה, ובהתאם להוראות בכתב של הלקוח, במידת הצורך;
- ליישם אמצעים טכניים וארגוניים מתאימים בהתאם לחקיקת הגנת המידע כדי להבטיח רמת אבטחה המתאימה לסיכונים הנשקפים מעיבוד כזה;
- לעבד כל מידע אישי במדינה שלישית באמצעות ישות אחרת של קבוצת החברה או קבלני משנה, אך ורק בכפוף לתנאי סעיפי חוזה סטנדרטיים;
- לוודא שכל עובד או אדם אחר המורשה לעבד את הנתונים האישיים כפוף לחובות סודיות מתאימות;
- לא לשכור צד שלישי כלשהו לביצוע התחייבויות העיבוד שלו במסגרת הסכם זה ללא קבלת הסכמת הלקוח מראש ובכתב, ולצורך סעיף קטן זה (v), הצדדים מסכימים כי החברה רשאית לשכור את שותף האירוח שלה לביצוע התחייבויות העיבוד שלו בהתאם להסכם וישות קבוצתית רשאית גם לבצע התחייבויות עיבוד בהתאם לתת-סעיף (ii) לעיל;
- להודיע ללקוח בהקדם האפשרי באופן סביר, על כל זכות לדעת, בקשה או תלונה שהתקבלה מנושא המידע, מבלי להגיב לבקשה זו (אלא אם כן הלקוח הוסמך לעשות כן או בהתאם לחוק החל) ולסייע ללקוח באמצעים טכניים וארגוניים, ככל האפשר באופן סביר, למילוי התחייבויות הלקוח ביחס לבקשות ותלונות כאמור;
- לפי בקשת הלקוח, ובהתחשב באופי העיבוד ובמידע הזמין לחברה, לסייע ללקוח להבטיח עמידה בחובותיו במסגרת חקיקת הגנת המידע (במידת הצורך) ביחס ל: (א) יישום אמצעים טכניים וארגוניים מתאימים; (ב) במידת הצורך, הודעה על הפרות מידע אישי לרשות המפקחת הרלוונטית ו/או דיווח על הפרות כאלה לנושא המידע בהתאם לחקיקת הגנת המידע הרלוונטית; ו-(ג) במידת הצורך, ביצוע ו/או סקירה, ואם רלוונטי, התייעצות עם הרשות המפקחת הרלוונטית בנוגע להערכות השפעה על הגנת המידע;
- לפי בקשת הלקוח, להעמיד לרשות כל המידע הדרוש להוכחת עמידת החברה בסעיף 3 זה; ו-
- עם סיום או פקיעת ההסכם, להשמיד את כל הנתונים האישיים ולמחוק את כל העותקים הקיימים של נתונים אישיים כאלה, למעט כנדרש על פי חוק החל.
4. התחייבויות הלקוח
הלקוח מאשר כי יש לו את הסמכות הנדרשת (במידת הצורך) מכל נושאי הנתונים הרלוונטיים כדי שהחברה תשתמש ותעבד נתונים אישיים אלה בהתאם להסכם. הלקוח יציית לכל חקיקת הגנת המידע הרלוונטית, לרבות: (i) מתן כל ההודעות הנדרשות והגילויים המתאימים לכל נושאי הנתונים בנוגע לאיסוף, שימוש, עיבוד והעברת נתונים אישיים על ידי הלקוח, החברה וכל צד שלישי הפועלים מטעם הלקוח; (ii) קבלת כל הזכויות וההסכמות הניתנות לאכיפה הנדרשות מנושאי הנתונים כדי לאפשר עיבוד נתונים אישיים על ידי החברה לצורך מילוי התחייבויות החברה, או כפי שמותר אחרת, במסגרת ההסכם, ו-(iii) קבלת הסכמות מפורשות מנושאי הנתונים ועמידה בכל חקיקת הגנת המידע הרלוונטית, אם הלקוח אוסף או מעביר קטגוריות מיוחדות של נתונים אישיים. הלקוח מאשר כי שירותי המנוי של החברה אינם מיועדים לאיסוף או לעבד קטגוריות מיוחדות של נתונים אישיים.
5. העברת נתונים בינלאומית
- הצדדים מאשרים כי אספקת השירותים עשויה לכלול העברת נתונים אישיים מהאזור הכלכלי האירופי ("EEA") לתחומי שיפוט מחוץ ל-EEA שאינם מספקים רמה נאותה של הגנה על נתונים כמשמעותה בחקיקת הגנת הנתונים הרלוונטית ("מדינות שלישיות"). מעבד המידע יבטיח כי כל העברה כאמור תתבצע בהתאם לחקיקת הגנת הנתונים הרלוונטית וכפופה לאמצעי הגנה מתאימים שנועדו להבטיח כי נתונים אישיים יישארו מוגנים בסטנדרט שווה ערך באופן מהותי לזה הנדרש על פי ה-GDPR.
- העברות ממעבד לבקר
במידה שהמעבד מעביר נתונים אישיים לאחראי במדינה שלישית בקשר לשירותים:
(א) הצדדים מסכימים כי העברות כאמור יהיו כפופות לסעיפים החוזיים הסטנדרטיים (החלטת יישום הנציבות (EU) 2021/914);
(ב) הצדדים מסכימים במפורש כי מודול 4 (מעבד לבקר) של סעיפי החוזה הסטנדרטיים יחול;
(ג) המעבד יפעל כיצואן הנתונים והבקר יפעל כיבואן הנתונים למטרות סעיפי החוזה הסטנדרטיים;
(ד) סעיפי החוזים הסטנדרטיים משולבים בזאת בהסכם שיתוף פעולה זה באמצעות הפניה, והם מפורטים במלואם בנספח IV ויהוו חלק בלתי נפרד מהסכם זה.
- העברות למעבדי משנה
במקרים בהם המעבד מפעיל מעבדי משנה הממוקמים במדינות שלישיות:
(א) על המעבד להבטיח כי העברות כאמור יהיו כפופות לאמצעי הגנה מתאימים בהתאם לחקיקת הגנת המידע;
(ב) במידת הצורך, אמצעי הגנה כאמור יכללו את ביצועם של סעיפי החוזה הסטנדרטיים, לרבות מודול 3 (מעבד למעבד), בין המעבד לבין מעבד המשנה הרלוונטי;
(ג) המעבד יטיל על כל מעבדי המשנה התחייבויות חוזיות שאינן מגנות פחות מאלה המפורטות בהסכם זכויות יוצרים זה;
(ד) המעבד יישאר אחראי באופן מלא כלפי האחראי לביצוע התחייבויות מעבדי המשנה שלו.
- אמצעי הגנה נוספים והערכות השפעה על העברה
על המעבד:
(א) ליישם אמצעים טכניים וארגוניים מתאימים להגנה על נתונים אישיים במהלך העברה ועיבוד לאחר מכן, לרבות, במידת הצורך, כגון הצפנה במעבר; בקרות גישה; אמצעי מזעור נתונים;
(ב) להעריך, על בסיס כל מקרה לגופו, במידת הצורך, האם החוקים והנהלים של המדינה השלישית עשויים להשפיע על יעילותם של אמצעי ההגנה המיושמים, לרבות סעיפי החוזים הסטנדרטיים;
(ג) על פי בקשה סבירה, לספק למנהל את המידע הדרוש באופן סביר כדי להדגים עמידה בסעיף זה, לרבות היבטים רלוונטיים של כל הערכת השפעה על ההעברה.
- שינויים במסגרת המשפטית
אם (א) סעיפי החוזה הסטנדרטיים מבוטלים, מתוקנים או מוחלפים; או (ב) רשות פיקוח מוסמכת או בית משפט קובעים כי אמצעי ההגנה עליהם הסתמכו אינם מספיקים עוד, הצדדים ישתפו פעולה בתום לב כדי ליישם מנגנוני העברה חלופיים או אמצעים משלימים הנדרשים להבטחת עמידה בחקיקת הגנת המידע; ואם לא ניתן ליישם מנגנון כזה, הבקר רשאי להשעות או להפסיק את ההעברות המושפעות ללא קנס.
- עדיפות של אמצעי הגנה
במקרה של סתירה כלשהי בין הסכם הגנת מידע זה לבין הסעיפים החוזיים הסטנדרטיים, הסעיפים החוזיים הסטנדרטיים יגברו במידה הנדרשת להבטחת עמידה בחקיקה הרלוונטית להגנת מידע.
6. מעבד משנה
- הלקוח מסכים כי החברה רשאית להעסיק מעבדי משנה של צד שלישי (ביחד, "מעבדי משנה"), כמו גם את ישויות קבוצת החברה, לעיבוד הנתונים האישיים מטעם החברה. מעבדי המשנה הנוכחיים של החברה מפורטים במסמך זה ויעודכנו מעת לעת. החברה תעשה מאמצים סבירים להודיע ללקוח על כל שינוי מהותי במעבדי המשנה שלה, ובכך תיתן ללקוח הזדמנות להעלות כל התנגדות סבירה לשינויים כאלה. אם הלקוח יכול להראות באופן סביר כי מינוי מעבד משנה חדש ישפיע לרעה באופן מהותי על יכולתה של החברה לעמוד בחקיקת הגנת המידע הרלוונטית, על הלקוח להודיע לחברה באופן מיידי בכתב תוך עשרה (10) ימי עסקים לאחר מכן על הבסיס הסביר שלו להתנגדות לשימוש במעבד משנה חדש.
- עם קבלת התנגדות הלקוח בכתב לשינוי מהותי במעבדי המשנה של החברה, הלקוח והחברה יעבדו יחד ללא עיכוב בלתי סביר כדי להמליץ על הסדר חלופי. אם כל התנאים הבאים מתקיימים, א) לא יימצא הסדר חלופי מקובל וסביר הדדית; ב) ללקוח יש זכות סיום על פי חקיקת הגנת המידע הרלוונטית, ו-ג) הלקוח מסר הודעה בכתב בהקדם על פי סעיף זה, אז הלקוח רשאי לסיים את ההסכם רק ביחס לשירותים שהחברה לא יכולה לספק ללא שימוש במעבד המשנה החדש. אלא אם כן הדבר אסור על פי חקיקת הגנת המידע הרלוונטית, במקרה של סיום מוקדם כזה על ידי הלקוח, החברה רשאית לשמור או לדרוש תשלום עבור שירותים עד תום תקופת החוזה הנוכחית של הלקוח במסגרת ההסכם עבור השירותים שהופסקו.
- החברה תטיל תנאי הגנת מידע דומים על מעבד משנה כזה ותמשיך להיות אחראית לכל הפרה של הסכם הגנת המידע הנגרמת על ידי מעבד משנה, במידה שהפרה כזו נגרמת עקב מעשים או מחדלים רשלניים של החברה.
7. ביקורת
על פי בקשה בכתב ובכפוף למתן הודעה מוקדמת סבירה (לא פחות משלושים יום), החברה תעמיד לרשות הלקוח את כל המידע הנדרש באופן סביר כדי להדגים עמידה בחובות המפורטות בהסכם הגנת מידע זה ולאפשר ולתרום לביקורות סבירות של מתקני העיבוד שלה, לרבות בדיקות, הנערכות על ידי הלקוח, מבקר עצמאי אחר שהוסמך על ידי הלקוח, או על ידי רשות מפקחת. הלקוח רשאי לערוך ביקורת או בדיקה אחת של פעילויות העיבוד של החברה לתקופה של שנים עשר (12) חודשים, באמצעות שאלון ולאחריו שיחת מעקב כנדרש, אלא אם כן נדרש אחרת על פי חקיקת הגנת המידע הרלוונטית או במקרה של הפרת מידע אישי מאושרת המשפיעה על המידע האישי של הלקוח. החברה מסכימה כי לרשויות הפיקוח יש את הזכות לערוך ביקורת של מתקני העיבוד של החברה באותו היקף ובכפוף לאותם תנאים שהרשות המפקחת הייתה מחילה על ביקורת של בקר במסגרת חקיקת הגנת המידע הרלוונטית. החברה תודיע ללקוח באופן מיידי על קיומה של חקיקה החלה עליה או על כל מעבד משנה מאושר המונע ביצוע ביקורת בהתאם לפסקה זו. במקרה כזה, הלקוח יהיה רשאי להשעות את העברת כל מידע אישי.
8. אחריות
אחריותו של כל צד במסגרת הסכם שיתוף פעולה זה תהיה כפופה למגבלות ולהחרגות המפורטות בתנאים הסטנדרטיים של המנוי והשירותים הראשיים או בהסכמים דומים שנחתמו בין הצדדים.
9. החוק החל
הסכם שיתוף מידע זה יהיה כפוף לחוקים המפורטים בתנאים הסטנדרטיים של המנוי והשירותים או בהסכם דומה שנחתם בין הצדדים.