נספח אבטחת מידע והגנת פרטיות (מיקור חוץ) (להלן: "הסכם עיבוד מידע") הינו חלק בלתי נפרד מהסכם שותפים לבעלי עסק הזמינים בקישור הבא: https://docs.momnto.app/partners-agreement.pdf (להלן: "הסכם שירותים"), ויחול על כל ההתקשרויות בהן ב.ג׳ויה השקעות בע״מ (להלן: "הספק" או "ספק השירותים") עשויה לעבד "מידע אישי" כהגדרתו להלן עבור בתי העסק (כפי שמוגדר בהסכם השירותים) (להלן, ביחד או לחוד "הלקוח") הספק.
הואיל ובמסגרת הסכם השירותים ספק השירותים מספק ללקוח שירותים שבמסגרתם ולצורך אספקתם, ספק השירותים עשוי לעבד מידע אישי (כמוגדר מטה) מטעם הלקוח;
והואיל ובמסגרת הסכם עיבוד מידע זה הצדדים מעוניינים להסדיר את חובות והתחייבויות הצדדים בכל הנוגע לעיבוד המידע, לרבות השימוש במידע, העברתו, וכן אבטחת מידע, לאורך כל תקופת ההתקשרות ולאחר סיומה.
לפיכך הותנה, הוצהר והוסכם בין הצדדים כדלקמן:
הגדרות
משמעותם של המונחים הבאים לצורכי הסכם עיבוד מידע זה, תהא כמפורט להלן:
- משמעות המונחים "אירוע אבטחה", "אירוע אבטחה חמור", "אבטחת מידע", "בעל שליטה במאגר מידע", "מאגר מידע", "מזהה ביומטרי", "מחזיק", "מידע אישי", "מידע בעל רגישות מיוחדת", "עיבוד" ו"שימוש", "שירותי דיוור ישיר" ו"שלמות המידע" תהא כהגדרתם בחוק הגנת הפרטיות. בהסכם עיבוד מידע זה, המונח "מידע אישי" יתייחס גם ל"מידע בעל רגישות מיוחדת" והמונח "מחזיק" יתייחס גם ל"ספק מיקור חוץ" כהגדרתו בתקנות אבטחת מידע..
- "חוקי הגנת הפרטיות" משמע, כל החוקים החלים על הגנת הפרטיות ואבטחת מידע אישי במדינת ישראל (ו/או מחוצה לה, ככל וחלים על המידע האישי של הלקוח), לרבות, ללא הגבלה: (א) חוק הגנת הפרטיות, התשמ"א -1981 ולרבות בנוסחו כפי שתוקן תחת תיקון 13 מיום 14.8.24 (להלן: "חוק הגנת הפרטיות"); (ב) התקנות שהותקנו ו/או יותקנו מכוח חוק הגנת הפרטיות לרבות תקנות הגנת הפרטיות (אבטחת מידע), תשע"ז-2017 (להלן: "תקנות אבטחת מידע") ותקנות הגנת הפרטיות (העברת מידע אל מאגרי מידע שמחוץ לגבולות המדינה), תשס"א-2001 ("תקנות העברת מידע"); (ג) הוראות ו/או הנחיות הרשות להגנת הפרטיות וכן כל פרשנות שיפוטית ו/או מנהלית של הנ"ל; (ד) כל שינוי ו/או תיקון לחוקי הגנת הפרטיות לעיל החל מהמועד הקובע.
- "המידע" או "מידע אישי של הלקוח" פירושו כל מידע אישי שהספק מעבד עבור הלקוח, ולרבות, מידע אישי אשר הועבר ו/או יועבר לספק או שניתן לספק גישה אליו על ידי הלקוח ו/או מי מטעמו, וכן מידע אישי שנאסף, נצבר, נוצר או התקבל אצל הספק במסגרת מתן השירותים ללקוח.
- "נושא המידע" פירושו אדם אשר המידע האישי אודותיו מעובד על ידי ספק השירותים.
כל הגדרה שעושים בה שימוש ולא מוגדרת תחת סעיף זה, תהא בעלת המשמעות כפי שהוגדר בהסכם השירותים .
הצהרות והתחייבויות עיבוד מידע אישי
- מוסכם ומובהר בין הצדדים כי, במערכת היחסים בין הלקוח לספק השירותים, הלקוח הינו בעל השליטה במאגר המידע ביחס למידע אשר הספק מעבד עבורו, והספק הינו מחזיק.
- בכפוף להסכם השירותים, הספק מתחייב לעבד את המידע האישי בכפוף להוראות להלן:
- ספק השירותים יעבד את קטגוריות וסוגי המידע האישי הנדרשים לצורך אספקת השירותים ("המידע המורשה").
- הספק לא יגלה את המידע האישי ו/או ישתף כל צד שלישי, למעט נותני שירותים וספקי משנה, אלא אם הוסכם ואושר מראש ע"י הלקוח או נדרש על פי חוק.
- גישה למידע תינתן אך ורק למי אשר תפקידו מחייב גישה למידע, ואשר מחויב על פי דין או הסכם לשמור על פרטיות המידע ואשר מחויב למלא אחר תנאים דומים לנספח זה.
ספקי מיקור חוץ ומחזיקים מטעם ספק השירותים
- במידה וספק השירותים יתקשר עם ספקי מיקור חוץ במטרה לספק את השירותים, כולם או חלק מהם ("ספקי משנה"), ספק השירותים מתחייב להתקשר עם ספקי המשנה בהסכם בכתב המחייב את ספקי המשנה לעמוד בהוראות דומות להסכם עיבוד מידע זה והוראות חוקי הגנת הפרטיות, לרבות כנדרש תחת תקנה 15 לתקנות אבטחת מידע.
התחייבויות אבטחת מידע
- ספק השירותים יטמיע ויבטיח את קיומם של אמצעי אבטחת מידע, טכנולוגיים וארגוניים מתאימים במערכות המידע המשמשות למתן השירותים ו/או עיבוד המידע, וזאת על מנת להגן על הגישה למידע, שלמות המידע האישי, סודיות המידע והגנה מפני עיבוד ללא הרשאה ו/או שלא כדין. אמצעי אבטחה אלו יהיו תואמים לנדרש עפ"י חוקי הגנת הפרטיות.
- ספק השירותים מתחייב כי הוא ו/או מי מטעמו לא יגלו מידע שהגיע אליהם בתוקף תפקידם כעובד, כמנהל, כמחזיק או כנותן שירות אחר הכרוך בעיבוד המידע, אלא לצורך השימוש המורשה, ובכפוף להוראות הסכם עיבוד מידע זה.
- הספק מתחייב כי יבצע הדרכות לכל מורשי הגישה למידע מטעמו בדבר השימוש המורשה, הוראות חוקי הגנת הפרטיות, אבטחת מידע וההתחייבויות ו/או הגבלות תחת הסכם עיבוד מידע זה. הדרכות כאמור יבוצעו בטרם מתן גישה וכן באופן תקופתי, בהתאם לדרישות חוקי הגנת הפרטיות.
- הספק מתחייב למנות ממונה אבטחת מידע, בהתאם וככל ונדרש תחת חוקי הגנת הפרטיות.
- ספק השירותים מתחייב לשמור את המידע האישי של הלקוח בהפרדה (לוגית) מכל מידע של לקוח אחר של ספק השירותים, וכן מהמידע הפנימי של ספק השירותים.
- תקשורת בין הספק והלקוח תיעשה בפרוטוקול סטנדרטי ובתעבורה מוצפנת על פי הטכנולוגיות העדכניות הקיימות בשוק.
- הספק ישמור תיעוד של הגישה למידע האישי של הלקוח (log) כנדרש על פי חוק הגנת הפרטיות.
אירוע אבטחה
- כל צד מתחייב ליתן דיווח מיידי לצד השני בכל מקרה של אירוע אבטחה חמור כהגדרתו תחת חוקי הגנת הפרטיות.
- בנוסף, ספק השירותים ידווח ללקוח על אירוע אבטחה וודאי מיד לאחר שנודע לספק השירותים על אירוע האבטחה וללא כל דיחוי. הדיווח יכלול את כלל המידע הידוע לספק השירותים על היקף האירוע, נסיבותיו, וככל ואירוע האבטחה נוגע למידע האישי של הלקוח, ידווח גם על אודות היקף נושאי המידע, סוג ופרטי המידע האישי וכן, כל פרט מידע אחר הרלוונטי ודרוש ללקוח לצורך תחקור האירוע, הכלתו ו/או מניעתו וכן עמידת הלקוח בהוראות הדין החלות עליה.
- הספק לא יגלה ו/או יפרסם ו/או ידווח על אירוע האבטחה בהקשר למידע הלקוח ללא הסכמת הלקוח מראש ובכתב, אלא אם נדרש אחרת תחת הוראות הדין החל ובמקרה כאמור, יעדכן את הלקוח מראש וישתף פעולה עם הלקוח בהקשר להיקף ואופן הגילוי ו/או הדיווח בכל הנוגע למידע של הלקוח.
זכויות נושאי מידע ובקשות מטעם רשות מוסמכת
- במידה ותתקבל אצל ספק השירותים בקשה מטעם רשות מוסמכת ו/או בקשת נושאי מידע, לרבות ביחס לזכות לעיון ו/או תיקון מידע אישי, יעדכן הספק את הלקוח בכתב ללא כל דיחוי ויצרף פרטים רלוונטיים.
- ספק השירותים ישתף פעולה עם הלקוח ויסייע ללקוח למלא אחר דרישות הדין ביחס לזכויות נושאי מידע וקיום חובותיה תחת חוקי הגנת הפרטיות.
דיווח
- ספק השירותים ידווח ללקוח, לבקשת הלקוח ולא יותר מאחת לשנה אודות אופן ביצוע חובותיו לפי חוקי הגנת הפרטיות והסכם עיבוד מידע זה. לבקשת הלקוח אשר תועבר מראש ובכתב, ספק השירותים יספק מידע נוסף, ככל ונדרש על מנת לוודא את קיום חובותיו של ספק השירותים.
ביעור מידע תוקף וסיום
- הספק ישמור את המידע שנאסף עבור ו/או בשם הלקוח כל עוד יש צורך בכך על מנת להגשים את המטרות שלשמן הועברו לספק. הספק יחזיר, ימחק או יבער את כל המידע בסיום ההתקשרות ו/או הסכם עיבוד מידע זה ובכפוף לקבלת בקשה למחיקה או החזרה של המידע מהלקוח. על אף האמור לעיל, ספק השירותים רשאי לשמור עותק מהמידע לצורך התגוננות בפני הליכים משפטיים ו/או בהתאם להוראות כל דין.
העברת מידע אישי מחוץ לגבולות ישראל
- ספק השירותים מתחייב כי ככל והמידע האישי של הלקוח יועבר (לרבות במסגרת אחסון ו/או מתן גישה) מחוץ לגבולות ישראל, העברת המידע תעשה בהתאם להוראות תקנות העברת המידע. בפרט, ספק השירותים מתחייב כי לא יועבר מידע אישי של הלקוח מחוץ לגבולות ישראל, אלא אם כן דין המדינה שאליה מועבר המידע, מבטיח רמת הגנה על מידע אישי שאינה פחותה מרמת ההגנה תחת חוקי הגנת הפרטיות ובכלל זה קובע את העקרונות תחת תקנה 1 לתקנות העברת מידע. כמו כן, מתחייב ספק השירותים להתקשר בהסכם בכתב עם הגורם אליו מועבר המידע, הכולל התחייבויות לנקוט באמצעים הנדרשים לאבטחת המידע האישי של הלקוח והגנה על הפרטיות, שלמות המידע וסודיותו, בהתאם להוראות הסכם עיבוד מידע זה וחוקי הגנת הפרטיות, ולרבות בהקשר להעברה למדינה אחרת.
כללי
- הוראות כתב התחייבות זה מתווספות על התחייבויות ספק השירותים לפי הסכם השירותים ומחובותיו לפי הוראות כל דין - לרבות חוקי הגנת הפרטיות בנושאי שמירת סודיות ואבטחת מידע ומערכות. הסכם עיבוד מידע זה מהווה חלק בלתי נפרד מהסכם השירותים.
- כתב התחייבות זה גובר על הסכם השירותים ביחס לאבטחת מידע ו/או עיבוד מידע אישי ו/או סודיות. במקרה של סתירה בין הוראות כתב התחייבות זה להוראות הסכם השירותים, יגברו הוראותיה של כתב התחייבות זה לעניין עיבוד מידע אישי.