הסכם בין בעל מאגר למחזיק — עיבוד מידע אישי
נערך לפי תקנה 15 לתקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017.
שנערך ונחתם ביום [תאריך]
בין: [שם הסוכנות], ח.פ. [מספר], מרחוב [כתובת] — להלן "בעל המאגר" או "הסוכנות"
לבין: אברידיי אפס בע"מ (EVERYDAY APPS LTD), ח.פ. 517271664 — להלן "המחזיק"
הואיל והסוכנות היא בעלת מאגר מידע ובו פרטי לקוחותיה, לרבות מידע על מצב בריאותם ומצבם הכלכלי, שרמת האבטחה החלה עליו היא בינונית;
והואיל והמחזיק מפעיל שירות טופס מקוון שבאמצעותו נאספים הפרטים, נשמרים ומועברים למערכת ניהול הלקוחות של הסוכנות;
והואיל והצדדים מבקשים להסדיר בכתב את תנאי החזקת המידע ועיבודו, כנדרש בתקנה 15;
לפיכך הוסכם והותנה בין הצדדים כדלקמן:
1. מבוא ונספחים
1.1 המבוא להסכם זה מהווה חלק בלתי נפרד ממנו.
1.2 מסמך הגדרות המאגר של הסוכנות מצורף כנספח א' ומהווה חלק בלתי נפרד מהסכם זה.
2. מעמד הצדדים
2.1 הסוכנות היא בעלת המאגר כמשמעותו בחוק הגנת הפרטיות, התשמ"א-1981. האחריות לתוכן המידע, למטרות השימוש בו, ליחסים מול נושאי המידע ולמענה לפניותיהם — עליה.
2.2 המחזיק הוא מחזיק כמשמעותו בחוק. הוא מעבד את המידע עבור הסוכנות ולפי הוראותיה בלבד, ואין לו זכות עצמאית בו.
2.3 המחזיק לא יעשה במידע כל שימוש לצרכיו שלו, לרבות שיווק, מחקר, אימון מודלים או הפקת תובנות, אף לא במידע מצרפי או מזוהה למחצה, אלא באישור מראש ובכתב של הסוכנות.
3. המידע שהמחזיק רשאי לעבד ומטרות השימוש
3.1 המחזיק רשאי לעבד את סוגי המידע הבאים, ואלה בלבד:
שם פרטי ושם משפחה; מספר תעודת זהות; תאריך לידה; מין; מצב משפחתי; טלפון; דואר אלקטרוני; כתובת מגורים; מעמד תעסוקתי ועיסוק; פרטי הכנסה; קופת חולים; הרגלי עישון; תרופות ומצב רפואי; גובה ומשקל; פרטי חשבון בנק; אזרחות או תושבות ארצות הברית ותושבות מס במדינה אחרת; שם וכתובת באנגלית; הסכמה או סירוב לדיוור; פרטים מקבילים של בן או בת זוג ושל ילדים, לרבות קטינים; צילום תעודת זהות וספח; חתימה גרפית; כתובת IP של שולח הטופס.
3.2 העיבוד ייעשה אך ורק למטרות הבאות:
- (א) קליטת הטופס ושמירתו עבור הסוכנות;
- (ב) הצגת הטופס לצוות הסוכנות בממשק מוגן;
- (ג) העברת הפרטים למערכת ניהול הלקוחות של הסוכנות;
- (ד) תמיכה טכנית ותחזוקה של השירות;
- (ה) עמידה בחובה שבדין.
3.3 כל מטרה שאינה מנויה בסעיף 3.2 טעונה אישור מראש ובכתב של הסוכנות.
4. סוג העיבוד והיקפו
4.1 העיבוד כולל: קליטה, אחסון מוצפן, הצגה למורשי גישה, העברה למערכת ניהול הלקוחות של הסוכנות, מחיקה לפי בקשה, ומחיקה אוטומטית של הקבצים בתום תקופת השמירה.
4.2 המידע נשמר בתיקייה נפרדת לכל סוכנות. מורשי גישה של סוכנות אחת אינם יכולים להגיע למידע של סוכנות אחרת.
4.3 מספר מורשי הגישה מטעם המחזיק יצומצם למי שנדרש לכך לצורך תפקידו. רשימת מורשי הגישה מטעם המחזיק תימסר לסוכנות לפי דרישה.
5. המערכות שמותר לגשת אליהן
5.1 המחזיק רשאי לגשת למערכות הבאות בלבד: שרת האפליקציה, נפח האחסון של הטפסים, ובסיס הנתונים המנהלי.
5.2 המחזיק לא יגש למערכות של הסוכנות עצמה, לרבות מערכת ניהול הלקוחות שלה, מעבר לפעולת ההעברה האוטומטית המתוארת בסעיף 4.1 ובאמצעות ההרשאות שהסוכנות עצמה הנפיקה.
5.3 חיבור חשבון Make של הסוכנות, באישור בעלת הסוכנות בפורטל (#276), הוא הוראה בכתב של הסוכנות למחזיק לשלוח את תשובות הטופס, ובהן תשובות על בריאות, מספר תעודת זהות ופרטי חשבון בנק (וצילומי תעודת זהות, חתימה ומסמכים, כחלק מאישור החיבור במסך ההסכמה (אין אישור חלקי), ורק קובץ שהסוכנות משכה), של טפסים שנשלחו אחרי אישור החיבור בלבד, אל Make, באיחוד האירופי, לפי הסכם הסוכנות עם Make. זו העברה של בעלת הסוכנות, שהמחזיק מבצע בשמה לפי הוראתה בכתב; היא אינה העברה של המחזיק לפי סעיף 10.3. ההתחייבות בכתב מ-Make לפי תקנה 3 לתקנות הגנת הפרטיות (העברת מידע אל מאגרי מידע שמחוץ לגבולות המדינה), התשס"א-2001, מוטלת על הסוכנות, וכך גם ההסכם עם Make והבסיס החוקי להעברה [לאימות: האם לחיצה בפורטל נחשבת הוראה בכתב]. ביטול החיבור בהגדרות מבטל את ההוראה לאלתר ועוצר שליחות עתידיות; עותקים שכבר נמצאים אצל Make נשארים לפי תקופות השמירה של Make.
6. אמצעי אבטחת מידע
6.1 המחזיק יקיים את הוראות תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017, ברמת אבטחה בינונית לכל הפחות.
6.2 בלי לגרוע מכלליות האמור, המחזיק מיישם ויתחייב להוסיף ולקיים:
- (א) הצפנה במנוחה — כל תשובה, כל קובץ שהועלה, כל חתימה, כל רשומת העברה וכל סוד גישה של הסוכנות נשמרים מוצפנים בנפח האחסון;
- (ב) הצפנה בתעבורה — כל התקשורת מול הטופס ומול הממשק מוצפנת;
- (ג) הפרדת מפתחות — מפתח התהליך נשמר מחוץ לנפח האחסון שהוא מצפין;
- (ג1) מפתח נפרד לכל סוכנות — לכל סוכנות מפתח נתונים משלה, שבו מוצפנים הקבצים שלה, והוא עצמו נשמר בשורת הסוכנות מוצפן תחת מפתח התהליך. דליפה של מפתח נתונים אחד חושפת סוכנות אחת;
- (ד) הפרדה בין סוכנויות — כאמור בסעיף 4.2;
- (ה) תיעוד גישה אוטומטי — כל צפייה, הורדה, מחיקה ושליחה חוזרת של טופס נרשמות עם זהות המשתמש, המועד וסוג הפעולה, והיומן נשמר 24 חודשים לכל הפחות;
- (ו) בקרת הרשאות — כניסה בסיסמה, הרשאות לפי תפקיד, וביטול הרשאה עם סיום תפקיד;
- (ז) מזעור מידע — בסיס הנתונים המנהלי אינו מכיל את שם המשפחה של נושא המידע.
6.3 פערים ידועים במועד החתימה. המחזיק מצהיר בשקיפות כי במועד זה:
- (א) מפתח התהליך פותח את כל הסוכנויות. לכל סוכנות מפתח נתונים משלה, אך מפתחות אלה נשמרים על אותו נפח אחסון מוצפנים תחת מפתח התהליך, ומי שבידו מפתח התהליך מגיע לכולם. הפער צומצם ולא נסגר: היקף הנזק מדליפת מפתח של סוכנות אחת הוא סוכנות אחת, והיקף הנזק מדליפת מפתח התהליך לא השתנה. סגירה מלאה משמעה מפתח שהסוכנות מחזיקה ואנחנו לא;
- (ב) יומן הגישה אינו עמיד בפני שינוי ואינו מזהה שינוי, כנדרש בתקנה 10(ב);
- (ג) לא בוצעה עדיין ביקורת תקופתית לפי תקנה 16;
- (ד) 14 תמונות הנפח האחרונות נשמרות, כ-14 ימים בפעילות רגילה, ולכן מחיקה אינה מושלמת עד להתיישנותן.
המחזיק יפעל לסגירת הפערים שבסעיפים (א)–(ג), וידווח לסוכנות על השלמתם. הפער שבסעיף (ד) מובא לידיעת הסוכנות כדי שתשקלל אותו במענה לבקשות מחיקה.
7. סודיות עובדים
7.1 המחזיק יחתים כל עובד, קבלן או נותן שירות מטעמו שיש לו גישה למידע על התחייבות אישית לסודיות, שתעמוד בתוקפה גם לאחר סיום עבודתו.
7.2 המחזיק ידריך את מורשי הגישה מטעמו בדבר חובותיהם לפי החוק והתקנות, אחת לשנה לכל הפחות, ויתעד את ההדרכה.
7.3 המחזיק יבטל הרשאת גישה בתוך 14 ימי עסקים מסיום העסקה או מסיום הצורך בגישה.
8. אירוע אבטחה
8.1 המחזיק יתעד כל אירוע שבו נעשה במידע שימוש בלא הרשאה או בחריגה מהרשאה, או שבו נפגעה שלמות המידע.
8.2 המחזיק יודיע לסוכנות על כל אירוע כאמור ללא דיחוי, ולא יאוחר מ-24 שעות מן הרגע שנודע לו עליו, ויעביר לה את כל המידע הדרוש לה כדי לעמוד בחובת הדיווח שלה לרשות להגנת הפרטיות לפי תקנה 11(ד).
8.3 חובת הדיווח לרשות להגנת הפרטיות היא של הסוכנות, כבעלת המאגר. המחזיק יסייע לה בכל הנדרש, לרבות בהעמדת ממצאים טכניים.
8.4 הנוהל המפורט מצורף כנספח ב'.
9. דיווח ובקרה
9.1 המחזיק ידווח לסוכנות בכתב, אחת לשנה לכל הפחות, על אופן יישום חובותיו לפי הסכם זה ולפי התקנות. הדיווח יכלול לכל הפחות: אירועי אבטחה שאירעו בשנה החולפת, שינויים מהותיים במערכות, ומצב הפערים שבסעיף 6.3.
9.2 הסוכנות רשאית לערוך אצל המחזיק ביקורת בעניין קיום ההסכם, בעצמה או באמצעות מי מטעמה, בהודעה מראש של 14 ימים, ולא יותר מפעם בשנה אלא אם אירע אירוע אבטחה.
9.3 המחזיק יעביר לסוכנות את ממצאי כל ביקורת שנערכה אצלו לפי תקנה 16, בתוך 14 ימים מקבלתם.
10. מקום שמירת המידע וקבלני משנה
10.1 המידע נשמר בישראל בלבד, אצל ספק תשתית ענן (Amazon Web Services) באזור il-central-1 (תל אביב). הגיבויים נשמרים באותו אזור. משתמש התפעול של החברה בחשבון הענן חסום מדיניותית מיצירת משאבים בכל אזור אחר; המדיניות אינה חלה על משתמש השורש של החשבון ועל שירותים גלובליים של הספק.
10.2 ספק התשתית הוא קבלן המשנה היחיד של המחזיק לעניין המידע. הוא מארח את השרת ואת נפחי האחסון המוצפנים. מפתח ההצפנה מוגדר בשרת עצמו, ולכן ההצפנה מגנה מפני העתקה של הדיסק ולא מפני מי ששולט בשרת. המחזיק לא יוסיף ולא יחליף קבלן משנה אלא בהודעה מראש ובכתב לסוכנות של 30 ימים לכל הפחות, ויחיל על כל קבלן משנה את החובות שבהסכם זה, כנדרש בתקנה 15(א)(2)(ז).
10.3 המחזיק לא יעביר את המידע אל מחוץ לישראל (למעט הוראת הסוכנות לפי סעיף 5.3), ולא ישנה את מיקום אחסון המידע, אלא בהודעה מראש ובכתב לסוכנות של 30 ימים לכל הפחות ובאישורה בכתב. העברה אל מחוץ לישראל כפופה לתקנות הגנת הפרטיות (העברת מידע אל מאגרי מידע שמחוץ לגבולות המדינה), התשס"א-2001, והאחריות להסדרת בסיס משפטי לפני ההעברה — על המחזיק.
10.4 מקום שמירת המידע הוא בישראל בלבד, כאמור בסעיף 10.1.
11. פניות נושאי מידע
11.1 פנייה של נושא מידע לעיון, לתיקון או למחיקה תופנה לסוכנות. הגיעה פנייה כזו למחזיק, יעבירה לסוכנות ללא דיחוי ולא יטפל בה בעצמו.
11.2 המחזיק יסייע לסוכנות במימוש הפנייה בתוך 14 ימי עסקים מקבלת בקשה בכתב ממנה.
12. תום ההתקשרות — השבה והשמדה
12.1 בתום ההתקשרות, מכל סיבה, יפעל המחזיק לפי הוראת הסוכנות בכתב, ולפי אחת משתי אלה:
- (א) השבה — העמדת עותק מלא של המידע לרשות הסוכנות, בפורמט קריא ומקובל, בתוך 14 ימים; או
- (ב) השמדה — מחיקת המידע מכלל מערכותיו.
12.2 לא נתנה הסוכנות הוראה בתוך 30 ימים מתום ההתקשרות, ישמיד המחזיק את המידע.
12.3 המחזיק ימסור לסוכנות אישור בכתב על ביצוע ההשמדה, שיפרט מה הושמד ומתי.
12.4 השמדה אינה מושלמת כל עוד קיימים גיבויים הכוללים את המידע. המחזיק יפרט באישור ההשמדה את מועד ההתיישנות הצפוי של הגיבוי האחרון, ולא יעשה במידע שבגיבוי כל שימוש.
12.5 אין באמור כדי לגרוע מחובה שבדין לשמור מידע לתקופה מסוימת. חלה חובה כזו, יודיע עליה המחזיק לסוכנות ויפרט את מקורה ואת היקפה.
13. אחריות
13.1 כל צד אחראי לנזק ישיר בלבד. אחריות המחזיק מוגבלת לסכום ששילמה לו הסוכנות ב-12 החודשים שקדמו לאירוע. אין אחריות לנזק עקיף.
14. תקופת ההסכם
14.1 הסכם זה יעמוד בתוקפו כל עוד המחזיק מחזיק במידע מטעם הסוכנות.
14.2 סעיפים 2.3, 7, 8, 12 ו-13 יעמדו בתוקפם גם לאחר תום ההתקשרות.
15. שונות
15.1 שינוי בהסכם זה ייעשה בכתב ובחתימת שני הצדדים.
15.2 על הסכם זה יחולו דיני מדינת ישראל, וסמכות השיפוט הבלעדית נתונה לבתי המשפט המוסמכים בתל אביב-יפו.
ולראיה באו הצדדים על החתום:
| בעל המאגר | המחזיק |
|---|---|
| [שם הסוכנות] | אברידיי אפס בע"מ |
| שם החותם: ____________ | שם החותם: ____________ |
| תפקיד: ____________ | תפקיד: ____________ |
| חתימה: ____________ | חתימה: ____________ |
| תאריך: ____________ | תאריך: ____________ |
נספח א' — מסמך הגדרות המאגר נספח ב' — נוהל אירוע אבטחה