הסכם עיבוד מידע (מחזיק)
הסכם זה מסדיר את עיבוד המידע האישי על לקוחות הסוכנות באמצעות שירות שורנס ווייס, בהתאם לחוק הגנת הפרטיות, התשמ"א-1981 (כולל תיקון מס' 13), לתקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017 ולתקנות העברת מידע לחו"ל. אישור ההסכם במסך חיבור ה-CRM מהווה הרשאה בכתב לעיבוד לפי סעיף 8(ג) לחוק.
1. תפקידים
הסוכנות היא בעל השליטה במאגר לקוחותיה וקובעת את מטרות העיבוד. המחזיק מעבד את המידע עבור הסוכנות, לפי הוראותיה ולפי הסכם זה בלבד.
2. מטרות העיבוד המורשות
- מענה לשאלות הסוכן על לקוחותיו מתוך ה-CRM.
- הכנה לפגישות, תדריך יומי, זיהוי תהליכים תקועים, פערי כיסוי, ייפויי כוח ודוחות שטרם נשלחו.
- ביצוע פעולות ב-CRM שהסוכן אישר במפורש: פתיחה, עדכון וסגירה של תהליכים ומשימות, קביעת פגישות, תיעוד פעילות, שליחת סיכומי פגישה ודוחות ללקוח, יצירת לידים ותזכורות.
- שמירת זיכרון עבודה של העוזר (כינויים, העדפות, הערות) לפי בקשת הסוכן.
כל עיבוד למטרה אחרת — לרבות שיווק, אימון מודלים, מכירה או מסירה לצד שלישי — אסור.
3. סוגי המידע
פרטי זיהוי וקשר, מספר זהות, מעסיק ושכר, מוצרי ביטוח ופנסיה, סכומי צבירה ופרמיה, סטטוסי תהליכים, מסמכים, פגישות, שיחות ותיעודים, וכן מידע בריאותי ככל שהוא מופיע בכיסויים ובתיעוד — "מידע בעל רגישות מיוחדת" לפי החוק.
4. ספקי משנה מורשים
הסוכנות מאשרת את ספקי המשנה הבאים. שינוי ברשימה יימסר לסוכנות 30 יום מראש, והיא רשאית לסיים את ההסכם אם אינה מסכימה.
| ספק | תפקיד | מיקום | בסיס להעברה |
|---|---|---|---|
| OpenAI, L.L.C. | מודל השפה של העוזר (הבנת הבקשה ובחירת הפעולה), תמלול הדיבור, הקראת התשובות ומצב רכב | ארצות הברית | התחייבות חוזית של הספק (Data Processing Addendum ו-API data policy: ללא שימוש באימון מודלים, מחיקה תוך 30 יום); הסכמת בעל השליטה בהסכם העיבוד |
| Supabase, Inc. | מסד הנתונים והזדהות המשתמשים: חשבונות הסוכנים, השיחות, יומן הפעולות, זיכרון העוזר, ההגדרות (פרטי החיבור ל-Surense מוצפנים) | האיחוד האירופי — AWS eu-central-1 (פרנקפורט, גרמניה) | מדינה שהוכרה על ידי האיחוד האירופי (מדינה החברה באיחוד) — תקנה 2(8) לתקנות העברת מידע; DPA של הספק |
| Vercel Inc. | אירוח האפליקציה והרצת השרת (פונקציות, משימות מתוזמנות) | פונקציות שרת: פרנקפורט (fra1); רשת ההפצה (CDN) גלובלית | עיבוד באיחוד האירופי; DPA של הספק |
| שירותי Web Push של ספקי הדפדפנים (Google, Apple, Mozilla) | התראות למכשיר של הסוכן (תדריך בוקר, סיכום שבועי) | גלובלי (לפי ספק הדפדפן) | התוכן אינו כולל מידע אישי על לקוחות; מוצפן מקצה לקצה (VAPID) |
5. התחייבויות המחזיק
- לעבד את המידע רק לפי הסכם זה, ולא לחרוג מההרשאה (סעיף 8(ג) לחוק).
- ליישם את אמצעי האבטחה של רמת אבטחה בינונית לפי תקנות אבטחת מידע: מסמך הגדרות מאגר, נוהל אבטחת מידע, ניהול הרשאות, הצפנה, יומן גישה ל-24 חודשים, עדכוני אבטחה, גיבויים, ביקורת תקופתית.
- לשמור מידע רק כנדרש: תמלולי שיחות 90 יום, יומן פעולות ממוזער 24 חודשים, הערות וכינויים 365 יום מהשימוש האחרון; לא לשמור הקלטות קול.
- לאפשר לסוכנות לייצא ולמחוק את כל מה שהמחזיק שומר על לקוח מסוים, ולסייע לה במענה לבקשות עיון, תיקון ומחיקה של לקוחותיה (סעיפים 13–14 לחוק) תוך 30 יום.
- להודיע לסוכנות על אירוע אבטחה חמור הנוגע למידע שלה ללא דיחוי ולא יאוחר מ-72 שעות מגילויו, כולל תיאור האירוע, המידע שנפגע והצעדים שננקטו; לדווח לרשות להגנת הפרטיות כנדרש בתקנה 11.
- להעסיק רק גורמים שהוסמכו לכך והוכשרו, ולהתקשר עם ספקי משנה בהסכם המחייב אותם באותן התחייבויות (תקנה 15).
- עם סיום ההסכם — למחוק את כל מידע הסוכנות תוך 30 יום (מחיקת החשבון בהגדרות מבצעת זאת מיד), למעט מה שהדין מחייב לשמור.
- לאפשר לסוכנות, בתיאום מראש ולא יותר מפעם בשנה, לקבל תיעוד על עמידה בהסכם (מסמכי האבטחה, יומן האירועים הנוגע אליה).
6. התחייבויות הסוכנות
- להבטיח שהמידע ב-CRM נאסף כדין ושלקוחותיה קיבלו הודעה לפי סעיף 11 לחוק, כולל ציון השימוש בעוזר דיגיטלי ובספקי המשנה שלו (נוסח מוצע נמסר לסוכנות).
- לחבר לשירות רק משתמשים מורשים מטעמה ולהסיר גישה של מי שסיים את תפקידו.
- לבדוק את ההקראה לפני אישור כל פעולה ב-CRM.
7. תקופה וסיום
ההסכם תקף כל עוד ה-CRM מחובר לשירות. ניתוק ה-CRM או מחיקת החשבון מסיימים אותו.