הסכם עיבוד מידע
ההסכם הזה מסדיר את עיבוד המידע האישי ש ("המעבד", "המחזיק") מבצע בשביל העסק הלקוח ("בעל השליטה"), במסגרת השירות . הוא חלק מתנאי השימוש, ונועד לעמוד בדרישות חוק הגנת הפרטיות ותקנות הגנת הפרטיות (אבטחת מידע), התשע"ז–2017, ובכלל זה תקנה 15 על הסדרת גישה של גורם חיצוני.
1. מה מעובד ולמה
| נושאי המידע | עובדים, מנהלים ומועמדים לעבודה של בעל השליטה, שמשתמשים במערכת. |
|---|---|
| סוגי המידע | שם, שם משתמש, תפקיד, טלפון (אם הוזן), תמלילי שיחות תרגול, ציונים ומשוב, התקדמות, נתוני מכירות שבעל השליטה בחר להזין, ובשיחות קוליות גם קול בזמן אמת. |
| מטרת העיבוד | הפעלת שירות האימון וההכשרה, דוחות למנהלים, סינון מועמדים, תמיכה ואבטחה. |
| משך | כל תקופת ההתקשרות, ועד המחיקה לפי סעיף 8. |
2. עיבוד רק לפי הוראות
המעבד יעבד את המידע רק לצורך מתן השירות ולפי הוראות בעל השליטה, כפי שהן משתקפות בהגדרות המערכת ובתנאים, ולא ישתמש בו לכל מטרה אחרת, כולל אימון מודלים של בינה מלאכותית. אם הוראה נראית למעבד מנוגדת לדין, הוא יודיע על כך.
3. סודיות
הגישה למידע מוגבלת לעובדים ולנותני שירות של המעבד שצריכים אותה לצורך מתן השירות, ושמחויבים בסודיות.
4. אבטחת מידע
- הפרדה בין לקוחות ברמת מסד הנתונים (הרשאות לפי עסק ולפי תפקיד).
- הצפנה בתעבורה (HTTPS). מפתחות גישה לספקים שמורים בשרת בלבד.
- כניסה עם קוד אישי שהמשתמש בוחר. קודים נשמרים מוצפנים. נעילת משתמש בלחיצה.
- תיעוד תקלות והתראה מיידית לצוות המעבד על תקלות.
- הגבלת קצב לממשקים פתוחים, ומחיקה אוטומטית של יומנים ישנים.
המעבד יעדכן את האמצעים לפי הצורך, ולא יפחית את רמת האבטחה במהלך ההתקשרות.
5. ספקי משנה
בעל השליטה מאשר את השימוש בספקי המשנה שלהלן. המעבד יודיע מראש על הוספה או החלפה של ספק משנה, ובעל השליטה רשאי להתנגד מטעם סביר ולסיים את ההתקשרות אם ההתנגדות לא נפתרה. המעבד יחייב כל ספק משנה בהתחייבויות הגנה דומות.
| ספק | למה | איפה המידע מעובד |
|---|---|---|
| Supabase | מסד הנתונים, הכניסה למערכת ופונקציות השרת | האיחוד האירופי (פרנקפורט) |
| Anthropic | מודל הבינה המלאכותית (Claude) שמגלם את הלקוח בשיחות ונותן ציון ומשוב | ארצות הברית |
| ElevenLabs | שיחות קוליות: זיהוי דיבור והקול של הלקוח בשיחה. תמלול הקלטות של שיחות אמיתיות שהעסק מעלה | ארצות הברית |
| Netlify | אחסון האתר | ארצות הברית ורשת שרתים עולמית |
| Telegram | התראות פנימיות לצוות שלנו על תקלות ועל פניות חדשות (כולל שם וטלפון של פונה) | לפי תשתית הספק |
| Google Fonts, jsDelivr | טעינת גופנים וספריות קוד לדפדפן. הספקים רואים את כתובת ה-IP של הגולש | רשת שרתים עולמית |
חלק מהספקים פועלים מחוץ לישראל. ההעברה נעשית בהתאם לתקנות הגנת הפרטיות (העברת מידע למאגרי מידע שמחוץ לגבולות המדינה), התשס"א–2001.
6. אירוע אבטחה
אם המעבד יגלה אירוע אבטחה חמור שנוגע למידע של בעל השליטה, הוא יודיע לבעל השליטה באופן מיידי ולא יאוחר מ-24 שעות מהגילוי. ההודעה תכלול מה ידוע על האירוע, איזה מידע נפגע ומה נעשה. המעבד ישתף פעולה כדי שבעל השליטה יוכל לעמוד בחובות הדיווח שלו לרשות להגנת הפרטיות.
7. זכויות נושאי המידע
המעבד יסייע לבעל השליטה, במידה סבירה, לענות לבקשות עיון, תיקון ומחיקה. אם פנייה תגיע ישירות למעבד, הוא יעביר אותה לבעל השליטה בהקדם.
8. סיום, החזרה ומחיקה
בסיום ההתקשרות, בעל השליטה רשאי לבקש בתוך 30 יום עותק של הנתונים שלו בפורמט נפוץ. המידע יימחק מהמערכות הפעילות תוך 90 יום מהסיום, אלא אם הדין מחייב לשמור אותו. לבקשה, המעבד ימסור אישור בכתב על המחיקה.
9. דיווח וביקורת
המעבד ימסור לבעל השליטה, לבקשתו ולא יותר מפעם בשנה, דיווח בכתב על אופן ביצוע ההתחייבויות לפי ההסכם, ויענה על שאלות סבירות בנושא אבטחת מידע.
10. חובות בעל השליטה
- ליידע את העובדים והמועמדים על השימוש במערכת ועל המידע שנאסף, לפי סעיף 11 לחוק.
- לוודא שהמידע שהוא מזין נאסף כדין, ולא להזין מידע רגיש שאינו נדרש.
- לנהל את ההרשאות בעסק שלו (מי מנהל, מי נציג) ולנעול משתמשים של עובדים שעזבו.