נספח עיבוד מידע ואבטחת מידע

1. מבוא ותחולה

1.1 נספח עיבוד מידע ואבטחת מידע זה (להלן: "הנספח") מהווה חלק בלתי נפרד מתקנון ותנאי השימוש של פרונדי בע״מ, ח.פ. 517395638, להלן: "החברה", "אנחנו" או "המערכת" לפי העניין), וכן מכל הסכם, הזמנה, הצעת מחיר, חבילת שירותים או מסמך התקשרות אחר בין החברה לבין הלקוח, אשר מכוחם מספקת החברה ללקוח את השירותים, ככל שקיים (להלן: "ההסכם").

1.2 נספח זה יחול בכל מקרה שבו החברה מעבדת, מחזיקה או מקבלת גישה למידע אישי עבור הלקוח או מטעמו במסגרת אספקת השירותים והשימוש בהם.

1.3 נספח זה נועד להסדיר את יחסי הצדדים בקשר לעיבוד מידע אישי עבור הלקוח, ובכלל זה את אחריות הלקוח, התחייבויות החברה כגורם המעבד מידע עבור הלקוח, אמצעי אבטחת מידע, ספקי משנה, אירועי אבטחה, זכויות נושאי מידע, העברת מידע מחוץ לישראל, והשבת מידע או מחיקתו בסיום ההתקשרות.

1.4 מדיניות הפרטיות של החברה תחול על מידע שהחברה מעבדת לצרכיה העצמאיים, לרבות מידע על לקוחות, משתמשים, מבקרים באתר, פניות לחברה, חיוב, תמיכה, שיווק, אבטחת השירות וניהול השירותים. נספח זה יחול בעיקר על מידע שהלקוח מעלה, שולח, מנהל או מעבד באמצעות השירותים.

2. הגדרות

2.1 למונחים שלא הוגדרו בנספח זה תהיה המשמעות שניתנה להם בתקנון ותנאי השימוש ובמדיניות הפרטיות של החברה, אלא אם ההקשר מחייב אחרת.

2.2 "מידע אישי"- מידע הנוגע לאדם מזוהה או לאדם הניתן לזיהוי, וכן כל מידע אחר הנחשב למידע אישי לפי הדין החל.

2.3 "מידע הלקוח"- כל מידע, לרבות מידע אישי, מסמכים, קבצים, טפסים, תבניות, פרטי נמענים, פרטי חותמים, שדות, חתימות, תוכן מסמכים, יומני חתימה וכל מידע אחר שהלקוח או מי מטעמו מעלים, יוצרים, שולחים, מאחסנים, מנהלים או מעבדים באמצעות השירותים.

2.4 "נתוני שירות"- נתונים טכניים, תפעוליים, אבטחתיים, סטטיסטיים או אגרגטיביים הנוצרים במסגרת השימוש בשירותים, לרבות יומני מערכת, נתוני שימוש, נתוני תקלות, נתוני ביצועים, נתוני אבטחה, נתוני התחברות, נתוני שליחה, סטטוס מסמכים ונתונים דומים.

2.5 "עיבוד"- כל פעולה המבוצעת במידע אישי, לרבות איסוף, קבלה, שמירה, אחסון, ארגון, שימוש, העברה, גילוי, גישה, שינוי, מחיקה, השמדה, גיבוי או שחזור.

2.6 "ספק משנה"- צד שלישי שהחברה מתקשרת עמו לצורך מתן השירותים ואשר במסגרת שירותיו מעבד מידע אישי הכלול במידע הלקוח עבור החברה או מטעמה.

2.7 "אירוע אבטחה"- אירוע אשר הביא או עלול להביא לגישה בלתי מורשית, שימוש בלתי מורשה, חשיפה, שינוי, מחיקה, אובדן, שיבוש, פגיעה בזמינות, פגיעה בשלמות או פגיעה בסודיות של מידע אישי.

3. תפקידי הצדדים

3.1 ביחס למידע הלקוח, הלקוח הוא הגורם הקובע את מטרות עיבוד המידע, את סוגי המידע שיעובדו, את זהות הנמענים והחותמים, את תוכן המסמכים, את הרשאות המשתמשים ואת אופן השימוש במערכת.

3.2 ביחס למידע הלקוח, החברה תפעל כמחזיקה או כמעבדת מידע עבור הלקוח ותעבד את מידע הלקוח לצורך מתן השירותים ובהתאם להוראות הלקוח כפי שהן באות לידי ביטוי בהסכם, בתקנון, בנספח זה ובאופן השימוש של הלקוח בשירותים, והכל בכפוף לדין החל.

3.3 החברה אינה קובעת עבור הלקוח אילו מסמכים להעלות למערכת, אילו פרטים לכלול בהם, למי לשלוח מסמכים, אילו חתימות לאסוף או אילו פעולות לבצע ביחס למידע הלקוח.

3.4 ביחס למידע שהחברה מעבדת לצרכיה העצמאיים, לרבות מידע על חשבון הלקוח, חיוב, תמיכה, אבטחת השירות, שיפור השירות, מניעת הונאות, ניהול סיכונים ומידע אגרגטיבי או סטטיסטי, החברה עשויה לפעול כבעלת שליטה במידע, כמפורט במדיניות הפרטיות.

4. מטרות והיקף העיבוד

4.1 החברה תעבד את מידע הלקוח רק במידה הדרושה לצורך מתן השירותים, תפעולם, אבטחתם, תחזוקתם, שיפורם, מתן תמיכה, עמידה בהוראות דין והגנה על זכויותיה.

4.2 מבלי לגרוע מהאמור, החברה רשאית לעבד את מידע הלקוח לצורך:

• פתיחת חשבון וניהולו;
• יצירה, שליחה, הצגה, חתימה, אישור, דחייה, הורדה, שמירה וארכוב של מסמכים;
• ניהול נמענים, חותמים, משתמשים, הרשאות וסטטוסים;
• יצירת יומן פעולותAudit Trail , ותיעוד פעולות במערכת;
• שליחת קישורים, תזכורות, הודעות שירות, קודי אימות ועדכונים תפעוליים;
• מתן תמיכה טכנית, תחזוקה, ניטור, טיפול בתקלות ושיפור השירותים;
• אבטחת מידע, מניעת גישה בלתי מורשית, מניעת הונאות וזיהוי שימוש לרעה;
• גיבוי, שחזור, המשכיות שירות ושמירת שלמות המידע;
• עמידה בדרישות דין, צו שיפוטי או דרישת רשות מוסמכת;
• בירור מחלוקות, טיפול בתלונות, גבייה, אכיפת זכויות והתגוננות משפטית.

4.3 החברה תהיה רשאית לסרב לבצע הוראה של הלקוח אם לדעתה הסבירה ההוראה עלולה להפר דין, לפגוע באבטחת המידע, לסכן את המערכת, לפגוע בזכויות צדדים שלישיים, להיות בלתי אפשרית מבחינה טכנית או לחרוג מהשירותים שהוסכמו.

5. התחייבויות הלקוח

5.1 הלקוח מצהיר ומתחייב כי הוא רשאי לפי דין לאסוף, לקבל, לשמור, להעביר, להעלות, לשלוח, לנהל ולעבד את מידע הלקוח באמצעות השירותים.

5.2 הלקוח אחראי למסור לנושאי מידע הודעות מתאימות, לקבל הסכמות ככל שנדרש, לוודא קיומו של בסיס חוקי לעיבוד, לנהל או לרשום מאגר מידע ככל שנדרש, ולקיים כל חובה החלה עליו כבעל שליטה במידע או כגורם הקובע את מטרות העיבוד.

5.3 הלקוח אחראי לתוכן המסמכים, לסוגי המידע הכלולים בהם, לזהות הנמענים והחותמים, להרשאות המשתמשים מטעמו ולחוקיות השימוש במידע הלקוח.

5.4 הלקוח מתחייב שלא להעלות למערכת מידע שאינו נדרש למטרותיו, מידע שאסור לו לעבד, מידע שהושג שלא כדין או מידע שהעברתו לחברה אינה מותרת לפי דין.

5.5 הלקוח אחראי לנהל את הרשאות המשתמשים מטעמו, להסיר משתמשים שאינם מורשים, לשמור על סודיות פרטי הגישה, להשתמש באמצעי אימות זמינים, ולפקח על פעולות המבוצעות בחשבונו.

5.6 אם הלקוח בוחר לעבד באמצעות השירותים מידע בעל רגישות מיוחדת, לרבות מידע רפואי, פיננסי, ביומטרי, מידע על קטינים או מידע רגיש אחר, הדבר ייעשה באחריות הלקוח בלבד ובכפוף לכל דין.

5.7 הלקוח יודיע לחברה ללא דיחוי על כל חשש לגישה בלתי מורשית לחשבונו, שימוש לרעה בהרשאות, פגיעה בסיסמאות, חשיפת קישורים, אירוע אבטחה או חשש לאירוע אבטחה הקשור לשירותים.

6. סודיות וגישה למידע

6.1 החברה תשמור על סודיות מידע הלקוח ולא תעשה בו שימוש אלא לצורך מתן השירותים, כמפורט בהסכם, בתקנון, במדיניות הפרטיות, בנספח זה או לפי דין.

6.2 גישה למידע הלקוח תינתן רק לעובדים, מנהלים, ספקי משנה או גורמים מורשים אחרים מטעם החברה, אשר הגישה נדרשת להם לצורך מתן השירותים, תמיכה, תחזוקה, אבטחת מידע, טיפול בתקלות, עמידה בדין או הגנה על זכויות.

6.3 החברה תפעל להגבלת הגישה למידע הלקוח לפי עקרונות של צורך לדעת וצורך להשתמש, ובהיקף הדרוש למטרה שלשמה ניתנה הגישה.

6.4 החברה תפעל לכך שגורמים מטעמה בעלי גישה למידע הלקוח יהיו כפופים להתחייבויות סודיות או לחובות סודיות מתאימות.

7. אבטחת מידע

7.1 החברה תנקוט אמצעי אבטחת מידע טכניים, ארגוניים ותפעוליים סבירים ומקובלים, בהתחשב באופי השירותים, סוגי המידע המעובדים, היקף השירותים, הסיכונים הכרוכים בעיבוד והוראות הדין החלות.

7.2 אמצעי אבטחת המידע עשויים לכלול, לפי העניין ובהתאם ליכולות המערכת בפועל: ניהול הרשאות, אמצעי זיהוי ואימות, בקרות גישה, הצפנת מידע במעבר ובמנוחה, הגבלת גישה למורשים, רישום פעולות, ניטור תקלות, גיבויים, תחזוקה, ניהול שינויים, נהלים פנימיים לטיפול במידע ואמצעים נוספים המתאימים לאופי השירות.

7.3 החברה אינה מתחייבת כי השירותים, המערכת, האתר, מאגרי המידע או התשתיות יהיו חסינים באופן מוחלט מפני גישה בלתי מורשית, תקיפות סייבר, אובדן מידע, שיבושים, תקלות או אירועי אבטחה.

7.4 הלקוח אחראי לנקוט אמצעי הגנה סבירים מטעמו, לרבות שמירה על סיסמאות, ניהול הרשאות, שימוש באמצעי אימות זמינים, הדרכת משתמשים מטעמו והגבלת גישה לגורמים מורשים בלבד.

7.5 מטעמי אבטחת מידע, נספח זה אינו מפרט את מלוא פרטי ארכיטקטורת האבטחה, מנגנוני ההצפנה, נהלי הניטור, פרטי התשתית, הגדרות הגיבוי או המערכות הפנימיות של החברה.

8. ספקי משנה

8.1 הלקוח מאשר כי החברה רשאית להסתייע בספקי משנה לצורך מתן השירותים, תפעולם, אבטחתם, תחזוקתם ושיפורם.

8.2 ספקי משנה עשויים לכלול, בין היתר, ספקי שירותי ענן, אחסון, שרתים, גיבוי ותשתיות; ספקי אבטחת מידע, ניטור, תמיכה ותחזוקה; ספקי שירותי התחברות, זיהוי ואימות; ספקי שירותי דוא"ל, SMS ותקשורת; ספקי מערכות, מודלים וכלים המבוססים על בינה מלאכותית; וכן ספקים טכנולוגיים ותפעוליים נוספים המעבדים מידע אישי עבור החברה או מטעמה לצורך מתן השירותים. נכון למועד עדכון נספח זה, ספקי המשנה המרכזיים של החברה כוללים: ספק תשתית ענן, אחסון ודואר יוצא; ספק סליקה, חשבוניות וזיכויים; ספק משלוח הודעות SMS; ספקי מודלים של בינה מלאכותית; וספקי שירותי התחברות וזיהוי. רשימת ספקי המשנה המרכזיים, בשמותיהם, תימסר ללקוח לפי בקשה.

8.3 החברה תפעל לכך שספקי משנה בעלי גישה למידע אישי יהיו כפופים להתחייבויות מתאימות לשמירה על סודיות, אבטחת מידע ועיבוד מידע, בהתאם לאופי השירות שהם מספקים ולדין החל.

8.4 החברה תהיה רשאית לעדכן מעת לעת את ספקי המשנה שבהם היא משתמשת, לרבות עקב שינויים טכנולוגיים, עסקיים, תפעוליים, אבטחתיים או משפטיים.

9. העברת מידע מחוץ לישראל

9.1 הלקוח מאשר כי מידע הלקוח עשוי להישמר, להיות מעובד או להיות נגיש מחוץ לישראל, לרבות באמצעות ספקי משנה של החברה. נכון למועד נספח זה, סביבת הייצור המרכזית של החברה מתארחת בתשתית ענן של ספק חיצוני, בשוודיה. בנוסף, החברה עשויה לעשות שימוש בשירותי תשתית והפצת תוכן הפועלים באמצעות רשת גלובלית ובספקי משנה נוספים העשויים לעבד מידע או לקבל גישה אליו מחוץ לישראל.

9.2 ככל שמידע אישי יועבר מחוץ לישראל, החברה תפעל בהתאם להוראות הדין החלות על העברת מידע אישי אל מחוץ לישראל, לרבות באמצעות התקשרות עם ספקים הכפופים להתחייבויות מתאימות להגנה על מידע או באמצעות מנגנונים אחרים המותרים לפי דין.

10. אירועי אבטחה

10.1 אם נודע לחברה על אירוע אבטחה אשר קיים חשש סביר כי הוא נוגע למידע הלקוח, החברה תפעל לבחון את האירוע, לצמצם את השפעתו, ולנקוט צעדים סבירים בהתאם לנסיבות.

10.2 ככל שהאירוע מחייב הודעה ללקוח לפי דין או לפי ההסכם, החברה תודיע ללקוח בתוך פרק זמן סביר לאחר שנודע לה על האירוע ולאחר שביצעה בדיקה ראשונית של נסיבותיו.

10.3 הודעת החברה ללקוח תכלול, ככל שהמידע מצוי בידי החברה ומותר למסירה לפי דין, פרטים סבירים על אופי האירוע, סוגי המידע שעלולים להיות מושפעים, היקף האירוע הידוע, הצעדים שננקטו או מומלצים, ופרטי קשר להמשך בירור.

10.4 הלקוח יהיה אחראי לקבוע האם עליו למסור הודעות לנושאי מידע, לרשויות מוסמכות או לצדדים שלישיים אחרים, ככל שהלקוח הוא בעל השליטה במידע הרלוונטי, אלא אם הדין מטיל חובה אחרת על החברה.

10.5 החברה תשתף פעולה באופן סביר עם הלקוח לצורך בירור האירוע, הכלתו, צמצום נזקיו ועמידה בחובות הדין, בכפוף למידע הזמין לחברה, מגבלות אבטחה, מגבלות סודיות, זכויות צדדים שלישיים והוראות הדין.

11. זכויות נושאי מידע ובקשות רשויות

11.1 ככל שהחברה תקבל פנייה מנושא מידע בקשר למידע הלקוח, לרבות בקשה לעיון, תיקון, מחיקה, התנגדות, הגבלה או כל זכות אחרת, והחברה תזהה כי הלקוח הוא הגורם האחראי למידע, החברה תהיה רשאית להפנות את הפונה ללקוח או להעביר את הבקשה ללקוח, בהתאם לדין ולנסיבות.

11.2 הלקוח אחראי לטפל בבקשות נושאי מידע ביחס למידע הלקוח, ככל שהוא בעל השליטה במידע או הגורם הקובע את מטרות העיבוד.

11.3 החברה תסייע ללקוח באופן סביר, ככל שהדבר אפשרי באמצעות השירותים ובהתאם ליכולות המערכת, במענה לבקשות נושאי מידע הנוגעות למידע הלקוח.

11.4 אם החברה תקבל דרישה מרשות מוסמכת, צו שיפוטי או בקשה מחייבת אחרת הנוגעת למידע הלקוח, החברה תפעל לפי הדין החל. ככל שהדבר מותר לפי דין ואינו פוגע בחקירה, בצו, בהליך משפטי או באינטרס מוגן אחר, החברה רשאית להודיע ללקוח על הדרישה.

12. שמירה, ייצוא, השבה ומחיקה

12.1 לאחר ביטול, אי-חידוש או סיום ההתקשרות, תעמיד החברה לרשות הלקוח תקופה של 20 ימים ממועד סיום ההתקשרות, שבמהלכה יוכל הלקוח לגשת למידע הלקוח הזמין בחשבונו ולייצאו, בכפוף ליכולות המערכת ולהוראות ההסכם.

12.2 בתום התקופה האמורה בסעיף 12.1, החברה תהיה רשאית להפסיק את גישת הלקוח למידע הלקוח ולמחוק את המידע או להפכו לבלתי נגיש במערכת הפעילה, בכפוף להוראות נספח זה ולהוראות ההסכם.

12.3 במהלך תקופת ההתקשרות, הלקוח אחראי לייצא, להוריד, לגבות או לשמור עותקים של מסמכים ומידע, ככל שהמערכת מאפשרת זאת ובהתאם להרשאות ולחבילת השירותים.

12.4 על אף האמור לעיל, החברה תהיה רשאית לשמור מידע מסוים לאחר סיום ההתקשרות ככל שהדבר נדרש לצורכי חשבונאות, אבטחת מידע, מניעת הונאות, התגוננות משפטית או בהתאם להוראות הדין

12.5 מחיקת מידע מהמערכת הפעילה אינה מביאה בהכרח למחיקתו המיידית מכל עותקי הגיבוי. מידע שנותר בעותקי גיבוי יימחק או יידרס בהתאם למחזורי הגיבוי של החברה. עותקי הגיבוי אינם משמשים לפעילות השוטפת ונועדו לצורכי התאוששות מאסון ושחזור מורשה. ככל שמידע שנמחק יוחזר למערכת במסגרת שחזור מלא מגיבוי, החברה תפעל ליישום מחדש של המחיקה ביחס למידע כאמור.

12.6 לפי בקשה סבירה של הלקוח ובכפוף ליכולות המערכת, החברה רשאית לספק אישור בדבר מחיקה או ביעור של מידע הלקוח, ככל שהדבר אפשרי ואינו כרוך בפגיעה באבטחה, בסודיות, בזכויות צדדים שלישיים או בדרישות דין.

13. נתוני שירות, מידע אגרגטיבי ו- AI

13.1 מבלי לגרוע מזכויות הלקוח במידע הלקוח, החברה רשאית לעבד נתוני שירות לצורך תפעול, אבטחה, ניטור, תמיכה, מדידת ביצועים, איתור תקלות, שיפור השירותים, פיתוח יכולות מערכת, מניעת הונאות, ניהול סיכונים והגנה משפטית.

13.2 החברה רשאית להפיק ולהשתמש במידע סטטיסטי, אגרגטיבי, אנונימי או בלתי מזוהה, שאינו מזהה אדם מסוים באופן סביר, לצורך מטרות עסקיות, תפעוליות, מחקריות, סטטיסטיות, אבטחתיות או אחרות.

13.3 החברה עשויה לעשות שימוש במערכות, מודלים וכלים המבוססים על בינה מלאכותית, לרבות באמצעות ספקי משנה, לצורך מתן השירותים והפעלת פונקציות ויכולות המבוססות על בינה מלאכותית במסגרת השירותים. מבלי לגרוע מהאמור, החברה לא תשתמש במסמכים, בתוכן לקוח או במידע הכלול במסמכי הלקוח לצורך אימון מודלים של בינה מלאכותית או למידת מכונה, או לצורך הפקת תובנות מסחריות פרטניות מתוכן מסמכי הלקוח, אלא אם ניתנה לכך הסכמה מפורשת של הלקוח או נקבע אחרת במסמך מחייב בין הצדדים.

13.4 אין באמור כדי למנוע מהחברה להשתמש בנתוני שירות, מידע טכני, מידע אגרגטיבי, מידע סטטיסטי, מידע אנונימי או מידע בלתי מזוהה לצורך תפעול, אבטחה, ניטור, מדידת ביצועים, שיפור השירותים ופיתוח יכולות מערכת, בכפוף לדין ולמדיניות הפרטיות.

14. שונות

14.1 אחריות הצדדים, הגבלות האחריות, החרגות הנזק, סעדי הצדדים, הדין וסמכות השיפוט יהיו כמפורט בתקנון, בהסכם או במסמך ההתקשרות החל בין הצדדים, אלא אם נקבע אחרת במפורש בנספח זה.

14.2 אין בנספח זה כדי להרחיב את אחריות החברה מעבר לאחריות שנקבעה בהסכם או בתקנון, ואין בו כדי ליצור התחייבות לתוצאה אבטחתית מוחלטת, לזמינות מלאה, לשחזור מלא של מידע או למניעת כל אירוע אבטחה.

14.3 החברה רשאית לעדכן נספח זה מעת לעת, בין היתר עקב שינויים בשירותים, בדרישות דין, באמצעי אבטחת מידע, בספקי משנה, בתשתיות טכנולוגיות או בצרכים עסקיים. הנוסח המעודכן יפורסם באתר, במערכת או בדרך אחרת שתיקבע על ידי החברה.

14.4 שאלות או בקשות בקשר לנספח זה ניתן לשלוח לכתובת דוא"ל: security@frondy.co.il.

14.5 נספח זה נכנס לתוקף החל ממועד קבלת התקנון, פתיחת חשבון, אישור הזמנה, חתימה על הסכם או שימוש בשירותים, לפי המוקדם מביניהם, אלא אם נקבע אחרת במסמך התקשרות בין הצדדים.