הסכם עיבוד נתונים זה ("DPA") מהווה חלק בלתי נפרד מההסכם בין ELXAO SASU (ה-"מעבד") לבין הלקוח (ה-"בקר"), ומיישם את סעיף 28 לתקנה (EU) 2016/679 ("GDPR") ואת חוק הגנת המידע הצרפתי (חוק מס' 78-17 מיום 6 בינואר 1978 כפי שתוקן). ההסכם חל בכל פעם ש-ELXAO מעבד נתונים אישיים מטעם הבקר במהלך מתן השירותים.
הגדרות
למונחים "נתונים אישיים", "עיבוד", "בקר", "מעבד", "מעבד משנה", "נושא מידע", "נתונים בקטגוריה מיוחדת" ו"הפרת נתונים אישיים" יש את המשמעויות שניתנו בסעיף 4 של ה-GDPR. תנאי ההסכם חלים על DPA זה, למעט כאשר DPA זה עוקף אותם במפורש.
נושא, משך ואופי העיבוד
| פריט | תיאור |
|---|---|
| נושא | מתן שירותי תפעול שיווקי (אתרים, קידום אתרים, מדיה בתשלום, אנליטיקה, CRM/מייל, מיתוג, מדיה חברתית, לוקליזציה, PM/אירועים) מטעם המבקר. |
| משך | משך ההתקשרות, בתוספת תקופות השמירה המפורטות להלן. |
| טבע ומטרה | אחסון, ארגון, ניתוח, העברה, אירוח ומחיקה של נתונים אישיים כנדרש כדי לספק את השירותים. |
| קטגוריות של נושאי מידע | משתמשי הקצה, לקוחות פוטנציאליים, לקוחות, מנויים, עובדים, ספקים ומשתתפי אירועים של הבקר. |
| קטגוריות של נתונים אישיים | נתוני זיהוי (שם, כותרת), נתוני קשר (אימייל, טלפון, כתובת דואר), נתונים מקצועיים (חברה, תפקיד), מזהים מקוונים (IP, Cookies, מזהי מכשירים), נתוני התנהגות (קליקים, הפעלות, המרות), נתונים מסחריים (הזמנות, חיוב), נתוני אירועים (הרשמות, נוכחות, תגים, הקלטות). |
| נתוני קטגוריות מיוחדות | לא מעובד כברירת מחדל. כל חריגה מחייבת הוראה בכתב ואמצעי הגנה נוספים. |
תפקידים והוראות
המבקר קובע את מטרות ואמצעי העיבוד. ELXAO מעבד נתונים אישיים אך ורק על פי ההנחיות המתועדות של הבקר, אשר מתגבשות על ידי ההסכם, ההזמנות, ה-SLAs, מדיניות הפרטיות של הבקר וכל הנחיות כתובות ספציפיות שנשלחו לאחר מכן. ELXAO יודיע לבוקר ללא דיחוי אם הוא שוקל הוראה להפר את חוק הגנת המידע.
סודיות הצוות
ELXAO מבטיח שכל אדם המורשה לעבד נתונים אישיים מחויב לחובת סודיות הניתנת לאכיפה (חוזה עבודה, חוזה עצמאי או NDA) וקיבל הכשרה בהגנה על נתונים אישיים המתאימה לתפקידו.
אמצעי אבטחה
ELXAO מיישמת אמצעים טכניים וארגוניים מתאימים (סעיף 32 GDPR), כולל:
- הצפנת TLS 1.2+ במעבר והצפנת AES-256 במצב מנוחה עבור מאגרי נתוני ייצור.
- בקרת גישה מבוססת תפקידים עם עקרון המינימום הרשאות; אימות רב-גורמי חובה עבור כל המנהלים.
- תשתית מוקשחת, מתארחת באיחוד האירופי, עם סריקה ותיקון פגיעות רגילים.
- סקירת קוד, ניהול סודות, SDLC מאובטח והפרדה של סביבות ייצור/ביימה.
- רישום ריכוזי, מוגן בשלמות; התראה על אירועי אימות וייצוא נתונים חשודים.
- גיבויים מוצפנים ומופרדים גיאוגרפית עם בדיקות שחזור מתועדות.
- נהלי יציאה/יציאה למטוס, מנהל סיסמאות, מחשבים ניידים מאובטחים עם הצפנת דיסק מלא.
- תוכניות המשכיות עסקית ותגובה לתקריות נבדקות לפחות אחת לשנה.
עיבוד משנה
הבקר מעניק ELXAO הרשאה כללית להעסיק מעבדי משנה לביצוע פעילויות עיבוד ספציפיות (אירוח, משלוח דואר אלקטרוני, ניתוח, פלטפורמות מודעות, כלי תמיכת לקוחות, פלטפורמות לניהול אירועים). ELXAO מחזיק רשימה עדכנית של מעבדי משנה, הזמינה לפי בקשה בכתובת [email protected], ותודיע לפחות שלושים (30) ימים מראש על כל תוספת או החלפה מתוכננת, שבמהלכה עשוי הבקר להתנגד מטעמי הגנת נתונים סבירים. ELXAO מטיל על כל מעבד משנה חובות הגנה לא פחותות מאלו המפורטות ב-DPA זה.
העברות בינלאומיות
נתונים אישיים מעובדים בעיקר בתוך האזור הכלכלי האירופי (EEA). כאשר העיבוד כרוך בהעברה מחוץ ל-EEA למדינה ללא החלטת הלימה, ELXAO מסתמך על אמצעי הגנה מתאימים לפי סעיף 46 GDPR, בעיקר הסעיפים החוזיים הסטנדרטיים של הנציבות האירופית (SCCs) מ-4 ביוני 2021, בתוספת כל אמצעי נוסף הנדרש בהערכת השפעת ההעברה.
סיוע למבקר
ELXAO מסייע לבקר, באמצעים טכניים וארגוניים מתאימים, במילוי התחייבויותיו להגיב לבקשות של נושאי נתונים (סעיפים 12–22 GDPR) ובהבטחת עמידה בסעיפים 32–36 GDPR (אבטחה, הודעת הפרה, DPIA, התייעצות מוקדמת). סיוע סטנדרטי כלול בשירותים; עבודה משמעותית העולה על יום עבודה אחד (1) לכל בקשה עשויה להיות מחויבת בתעריפים המקצועיים הנוכחיים של ELXAO לאחר הודעה בכתב.
הפרת נתונים אישיים
ELXAO מודיע לבוקר ללא דיחוי מיותר ובכל מקרה תוך שבעים ושתיים (72) שעות לאחר שנודע לה על הפרת מידע אישי המשפיעה על הנתונים של הבקר. ההודעה כוללת את אופי ההפרה, קטגוריות והיקפים משוערים שהושפעו, השלכות צפויות והאמצעים שננקטו או הוצעו כדי לטפל בה.
ביקורת
ELXAO מעמיד לרשות הבקר, לפי בקשה סבירה ולא יותר מפעם אחת בשנה (למעט בעקבות הפרה), את המידע הדרוש כדי להוכיח עמידה ב-DPA זה, לרבות דוחות מסוג ISO 27001 / SOC 2 ממעבדי משנה, כאשר זמין. ביקורת באתר עשויה להתבצע על ידי המבקר או מבקר צד ג' מאושר הדדי המחויב בסודיות, על חשבון המבקר, בהודעה סבירה מראש ובשעות הפעילות, באופן שלא ישבש באופן בלתי סביר את פעילותו של ELXAO.
החזרה או מחיקה של נתונים
עם סיום ההסכם, ELXAO יחזיר, לפי בחירתו של המבקר תוך שלושים (30) יום, את כל הנתונים האישיים בפורמט מובנה, נפוץ וניתן לקריאה במכונה, או ימחק אותם מכל מערכות הייצור והתפעול. עותקי גיבוי נמחקים במחזור הסיבוב הרגיל (עד תשעים (90) יום) וניתן לשמור מעבר לתקופה זו רק כאשר הדבר נדרש על פי החוק החל, ובמקרה זה הם נשארים כפופים לחובות האבטחה והסודיות של DPA זה.
אחריות
הוראות החבות של ה-MSA חלות על תביעות המתעוררות במסגרת DPA זה. כל צד נשאר אחראי כלפי נושאי מידע ורשויות פיקוח בהתאם לסעיף 82 GDPR.
צור קשר
לכל שאלה, בקשה או הודעה בנושא הגנת נתונים במסגרת DPA זה, צור קשר עם ELXAO בכתובת [email protected].