הסכם עיבוד מידע, הגנת פרטיות ואבטחת מידע

פתיח

הואיל והמשתמש מהווה בעל שליטה במאגר מידע כמשמעותו בחוק הגנת הפרטיות, התשמ"א–1981 (להלן: "חוק הגנת הפרטיות");

והואיל ולפי תנאי השימוש בין הצדדים, הספק מספק ללקוח שירותי תוכנה במודל SaaS, לרבות מערכת דוחות שנתיים, הצהרות הון, חישובים פיננסיים, מאגר דיני עבודה, ניהול משרד, ממשקים ושירותים נלווים (להלן: "השירותים" ו"המערכת"), הכרוכים בעיבוד מידע כהגדרתו בחוק הגנת הפרטיות;

והואיל ועיבוד המידע כפוף להוראות חוק הגנת הפרטיות והתקנות שהותקנו מכוחו, לרבות תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז–2017 (להלן: "תקנות אבטחת מידע"), תקנות הגנת הפרטיות (העברת מידע אל מאגרי מידע שמחוץ לגבולות המדינה), התשס"א–2001, וכן הנחיות מחייבות של הרשות להגנת הפרטיות (להלן יחד: "דיני הגנת הפרטיות");

והואיל והצדדים מעוניינים להסדיר בהסכם זה את אופן עיבוד המידע על ידי הספק כמחזיק, בהתאם לדיני הגנת הפרטיות ובפרט לתקנה 15 לתקנות אבטחת מידע, ומצהירים כי הסכם זה, תנאי השימוש ומדיניות הפרטיות הינם חלק בלתי נפרד מההתקשרות ביניהם;

לפיכך הוצהר, הוסכם והותנה בין הצדדים כדלקמן:

1. מבוא, תחולה וקדימות

1.1.נספח סודיות, אבטחת מידע והגנת פרטיות זה (להלן: "הסכם עיבוד המידע" או "ההסכם"), לרבות המבוא לו ונספחיו, מהווה חלק בלתי נפרד מתנאי השימוש ומדיניות הפרטיות של הספק, כפי שהם מפורסמים באתר הספק מעת לעת (להלן יחד: "ההסכם העיקרי"), ויפורש יחד עמם.

1.2.תחולת הסכם עיבוד המידע הינה על כל ההתקשרויות שבהן חשב מערכות מידע (2012) בע"מ, ח.פ. 514730654 (להלן: "הספק" או "ספק השירותים"), מעבדת או עשויה לעבד מידע אישי עבור המשתמשים ו/או המנויים, כהגדרתם בתנאי השימוש (להלן, ביחד או לחוד: "הלקוח").

1.3.בכל מקרה של סתירה בין הוראות הסכם זה לבין נספחיו ו/או לבין הוראות ההסכם העיקרי, תגבר, בכל הנוגע להגנת הפרטיות ואבטחת המידע, הוראת הסכם זה.

1.4.קבלת תנאי השימוש, ההרשמה למערכת או השימוש בשירותים מהווים הסכמה של הלקוח לתנאי הסכם זה, והוא יחייב את הצדדים ללא צורך בחתימה נפרדת. לבקשת הלקוח, יחתום הספק על עותק של הסכם זה.

1.5.כותרות הסעיפים נועדו לשם נוחות בלבד ואין לעשות בהן שימוש לצורך פרשנות.

2. הגדרות

בהסכם זה תהא למונחים שלהלן המשמעות שלצידם, זולת אם משתמע אחרת מהקשר הדברים. למונחים שלא הוגדרו בהסכם זה תהא המשמעות שניתנה להם בדיני הגנת הפרטיות.

2.1."מידע אישי" – נתון הנוגע לאדם מזוהה או לאדם הניתן לזיהוי במאמץ סביר, במישרין או בעקיפין, ובכלל זה פרט מזהה כגון שם, מספר זהות, מזהה ביומטרי, נתוני מיקום, מזהה מקוון, או נתון אחד או יותר הנוגע למצבו הפיזי, הבריאותי, הכלכלי, החברתי או התרבותי.

2.2."מידע בעל רגישות מיוחדת" – מידע אישי על צנעת חיי המשפחה של אדם, על צנעת אישיותו ועל נטייתו המינית, מידע בריאותי או רפואי, מידע גנטי, מזהה ביומטרי, מוצאו של אדם, עבר פלילי, דעות פוליטיות, אמונות דתיות, השקפת עולם, נתוני מיקום, נתוני תעבורה, שכר, פעילות פיננסית, ומידע אישי שחלה עליו חובת סודיות שנקבעה בדין.

2.3."מידע" – כל נתון או מסמך הנוגע ללקוח ו/או ללקוחותיו ו/או לספקיו ו/או לעובדיו ו/או לכל גורם הקשור עמו, לרבות מידע אישי, מידע בעל רגישות מיוחדת, ובעיקר מידע פיננסי, חשבונאי, עסקי, מקצועי או מסחרי, אשר אינו נחלת הכלל ואשר נחוץ לאספקת השירותים (להלן: "המידע המורשה").

2.4."עיבוד מידע" – כל פעולה שמבוצעת לגבי המידע, לרבות קבלתו, איסופו, אחסונו, העתקתו, עיון בו, גילויו, חשיפתו, העברתו, מסירתו או מתן גישה אליו.

2.5."בעל שליטה במאגר מידע" – מי שקובע, לבדו או יחד עם אחר, את מטרות עיבוד המידע שבמאגר המידע, או גוף שהוא או בעל תפקיד בו הוסמך בחיקוק לעבד מידע במאגר. בהסכם זה: הלקוח.

2.6."מחזיק" – גורם חיצוני לבעל השליטה במאגר המידע, המעבד בעבורו מידע. בהסכם זה: הספק.

2.7."נושא מידע" – האדם שאודותיו מעובד מידע.

2.8."ספק משנה" – קבלן משנה או נותן שירות המועסק על ידי הספק בקשר ישיר עם השירותים, אשר תהיה לו גישה כלשהי למידע המורשה, לרבות ספקי אחסון ותשתיות ענן.

2.9."מורשה גישה" – עובד או נותן שירות מטעם הספק אשר הוסמך על ידי הספק לגשת למידע המורשה, בהתאם לתפקידו.

2.10."אירוע אבטחת מידע" – כל אירוע שיש בו כדי לפגוע בזמינות, בסודיות או בשלמות של המידע או של מערכות המידע המכילות מידע, לרבות פעילות מכוונת או לא מכוונת, אשר גורמת או עלולה לגרום לחשיפת מידע ללא הרשאה, לגישה לא מורשית למידע או לאובדן מידע.

2.11."אירוע אבטחה חמור" – כהגדרתו בתקנות אבטחת מידע, ובכלל זה אירוע שבו נעשה שימוש במידע מן המאגר בלא הרשאה או בחריגה מהרשאה, או שנעשתה פגיעה בשלמות המידע, בהיקף או במהות כמפורט בתקנות.

3. כללי ומטרת העיבוד

3.1.הספק מצהיר כי לשם מתן השירותים המפורטים בתנאי השימוש (להלן: "מטרת השימוש"), הלקוח נדרש להעביר לספק מידע ממאגרי המידע שבשליטתו ו/או לאפשר לספק ולמורשי הגישה מטעמו גישה למידע המורשה, כמפורט בנספח א'.

3.2.הספק, המהווה מחזיק של המידע המורשה, מצהיר ומאשר כי ידוע לו שהבעלות במאגרי המידע ובמידע המורשה המצוי בהם הינה של הלקוח. הספק לא יעשה במידע המורשה כל שימוש אלא לצורך מטרת השימוש, בהתאם להוראות הלקוח ובהיקף המפורט בנספח א'.

3.3.במסגרת מתן השירותים, הספק מספק ללקוח שירותי עיבוד מידע באמצעות מערכת טכנולוגית המופעלת בסביבת ענן (SaaS). הספק לא ימכור את המידע המורשה, לא יעביר אותו לצד שלישי לשימושו העצמי ולא יעשה בו שימוש לצרכיו שלו, לרבות לצורכי שיווק או פרסום.

3.4.נוסף על האמור בנספח א', הלקוח מסכים לכך שהספק יעשה שימוש במידע המורשה ובקבצי הגיבוי לצורך תפעול, תחזוקה, תמיכה, טיפול בתקלות ושיפור אבטחת המערכת והשירותים הניתנים ללקוח.

3.5.הספק רשאי להפיק ולהשתמש בנתונים סטטיסטיים או מצרפיים (Aggregated) שאינם מזהים ואינם ניתנים לזיהוי במאמץ סביר, לצורך שיפור המערכת והשירותים, ובלבד שלא ניתן יהיה לזהות מהם את הלקוח או נושא מידע כלשהו.

3.6.חלק מפעולות עיבוד המידע, ביניהן פעולות אחסון, תשתית, גיבוי ופיתוח, מבוצעות באמצעות ספקי משנה, כמפורט בסעיף 5 להלן.

3.7.הספק מצהיר כי הוא פועל כנדרש על פי דיני הגנת הפרטיות, וכי הוא נוקט באמצעי אבטחה ובקרה בהתאם להם.

3.8.פרטי קשר מטעם הספק לכל עניין הנוגע להסכם זה, לרבות עדכון פרטי הספק כמחזיק במאגר המידע של הלקוח: privacy@heshev.co.il.

4. התחייבויות הלקוח כבעל שליטה

4.1.הלקוח מתחייב לעמוד בכל החובות החלות עליו כבעל שליטה לפי דיני הגנת הפרטיות, ובכלל זאת:

1. ליידע את נושאי המידע מטעמו ביחס לעיבוד המידע האישי אודותיהם על ידי הספק, ולקבל מהם את כל ההסכמות הנדרשות לפי דין;
2. לעמוד בכל חובת רישום ו/או הודעה החלה עליו בקשר עם מאגרי המידע שבשליטתו;
3. לא למסור לספק, ולא לבקש ממנו לעבד, מידע אישי שנאסף, נוצר, התקבל או נצבר בדרכים שאינן חוקיות, בניגוד לדיני הגנת הפרטיות או לכל דין אחר;
4. לקבוע את רמת האבטחה החלה על מאגרי המידע שבשליטתו, ולקיים את החובות החלות עליו ביחס לאבטחת המידע בסביבתו, לרבות ניהול משתמשי המערכת מטעמו, הרשאותיהם, סיסמאותיהם ואמצעי ההזדהות שלהם;
5. לא להעלות למערכת מידע בעל רגישות מיוחדת שאינו נדרש לצורך השימוש במערכת.

4.2.הלקוח אחראי לכך שהוראותיו לספק בקשר עם עיבוד המידע יהיו חוקיות. ככל שהספק סבור כי הוראה של הלקוח מנוגדת לדיני הגנת הפרטיות, יודיע על כך ללקוח, ויהיה רשאי להימנע מביצועה עד לבירור העניין.

4.3.האחריות לאבטחת תחנות הקצה, הרשת והמכשירים של הלקוח, שמהם נעשית הגישה למערכת, חלה על הלקוח בלבד.

5. מורשי גישה, סודיות וספקי משנה

שמירת סודיות

5.1.הספק מתחייב לשמור בסודיות כל מידע שיגיע אליו במסגרת מתן השירותים ללקוח, ולא לעשות בו שימוש אלא לצורך ביצוע השירותים לפי ההסכם ובהתאם לדין. הספק לא יגלה מידע לצדדים שלישיים, אלא אם הדבר נדרש לצורך מתן השירותים או לפי הוראות הדין.

5.2.התחייבות זו לא תחול על מידע שהיה ידוע לספק כדין לפני קבלתו, או שהפך לנחלת הכלל שלא עקב הפרת ההסכם.

5.3.חויב הספק על פי דין או על פי צו של רשות מוסמכת למסור מידע של הלקוח, יודיע על כך ללקוח מראש, ככל שהדבר מותר לפי דין, כדי לאפשר לו לפעול להגנה על זכויותיו, וימסור רק את המידע שחובה למסרו.

מורשי גישה

5.4.הגישה למידע המורשה תוגבל למורשי גישה מטעם הספק, אשר הגישה נדרשת להם לצורך אספקת השירותים, ועל בסיס עקרון הצורך לדעת בלבד.

5.5.הספק ינהל רשימה מעודכנת של מורשי הגישה ושל הרשאותיהם, יבחן אותה מעת לעת, ויבטל הרשאות גישה עם סיום העסקה או שינוי תפקיד.

5.6.הספק יתדרך כל מורשה גישה, לפני מתן הגישה ובאופן תקופתי, באשר למטרות השימוש במידע ולחובותיו בתחום הגנת הפרטיות ואבטחת המידע, לפי הסכם זה ולפי דיני הגנת הפרטיות.

5.7.מורשי הגישה מטעם הספק יחתמו על כתב התחייבות לשמירת סודיות ולקיום הוראות אבטחת המידע, כתנאי למתן הגישה.

ספקי משנה

5.8.הלקוח מאשר לספק להעסיק ספקי משנה לצורך מתן השירותים, ובכלל זה את Microsoft (שירותי הענן Microsoft Azure) כספק האחסון והתשתית של המערכת, וכן ספקי שירותי גיבוי, דיוור, פיתוח ותמיכה.

5.9.הספק יתקשר בהסכם בכתב עם כל ספק משנה שתהיה לו גישה למידע המורשה, ובו יתחייב ספק המשנה לקיים את כל הנושאים המפורטים בתקנה 15 לתקנות אבטחת מידע, וחובות סודיות ואבטחת מידע דומות בעיקרן לאלה החלות על הספק לפי הסכם זה, בשים לב לפעולות העיבוד ולסוג המידע הכרוכים בשירותי ספק המשנה.

5.10.התקשרות עם ספק משנה תיעשה לאחר שהספק שקל את סיכוני אבטחת המידע הכרוכים בה, ובהתאם להצהרת ספק המשנה בדבר עמידתו בסטנדרטים ובדרישות רגולטוריות מקובלים לאבטחת מידע.

5.11.הספק יפקח על עמידת ספקי המשנה בהתחייבויותיהם, ויישא באחריות כלפי הלקוח למעשיהם ולמחדליהם בקשר עם המידע המורשה, כאילו היו מעשיו ומחדליו שלו.

5.12.הספק, כמחזיק במאגר, רשאי לקבוע, להוסיף ולהחליף ספקי משנה, לרבות ספקי האחסון והתשתית, לפי שיקול דעתו, בכפוף לאמור בסעיפים 5.9 עד 5.11, וללא צורך בהסכמת הלקוח.

6. אבטחת מידע

6.1.הספק ינקוט באמצעים סבירים להגנה על המידע, על התשתיות ועל המערכות המשמשות למתן השירותים, בהתאם לרמת הרגישות של המידע ולדרישות הדין, ובכלל זה:

1. שמירה על אבטחה פיזית ומניעת גישה לא מורשית;
2. יישום אמצעי אבטחה אפליקטיביים להגנה על מידע;
3. מתן הרשאות גישה רק לבעלי הרשאה, לאחר נקיטת אמצעים סבירים לזיהוים;
4. הדרכות מודעות לאבטחת מידע והגנת הפרטיות לבעלי הרשאות;
5. מידור פנימי בגישה למידע בהתאם לצורך התפקיד;
6. נקיטת אמצעי אבטחה טכנולוגיים למניעת חדירה או חשיפה לא מורשית, לרבות הגנה על קווי התקשורת;
7. ביצוע פעולות פיתוח, עדכון או תוספת למערכת בהתאם לסטנדרטים מקובלים לפיתוח מאובטח, תוך שימוש בטכנולוגיות עדכניות ונתמכות;
8. עמידה בהוראות הדין בנוגע לשימוש בכלי בינה מלאכותית.

6.2.אמצעי אבטחת המידע שהספק מיישם מפורטים בנספח ב' להסכם זה. הספק רשאי לעדכן את אמצעי האבטחה מעת לעת, ובלבד שרמת ההגנה על המידע לא תפחת מהמפורט בנספח ב' ומהנדרש לפי דיני הגנת הפרטיות.

6.3.הספק רשאי לגשת למערכת ולמידע המורשה בחיבור מרחוק, לצורך תמיכה, תחזוקה וטיפול בתקלות, באמצעות ערוץ מאובטח ומוצפן ובאמצעות כלים ייעודיים ומוכרים בלבד. גישה מרחוק לתחנת עבודה של הלקוח תיעשה רק בהסכמת הלקוח ובנוכחות נציג מטעמו.

6.4.שימוש בכלי בינה מלאכותית במסגרת השירותים ייעשה בהתאם לדין, ובאופן שהמידע המורשה לא ישמש לאימון מודלים של צדדים שלישיים, אלא בהסכמת הלקוח.

7. זכויות נושאי מידע

7.1.בכל מקרה שבו תתקבל אצל הספק פנייה הנוגעת למידע המורשה המוחזק במערכות הספק, ינחה הספק את הפונה לפנות ישירות ללקוח (למעט אם קיימת חובה אחרת לפי דין), לרבות פניות הנוגעות לזכויות עיון, תיקון או מחיקה של מידע אישי. בנוסף, הספק יעדכן את הלקוח בכתב על כל פנייה כאמור, בין אם התקבלה מנושא מידע ובין אם מרשות מוסמכת.

7.2.הלקוח מתחייב לטפל בפניות נושאי המידע בהתאם למועדים הקבועים בדין.

7.3.במידת הצורך, הספק יסייע ללקוח, באופן סביר, להגיב לפניית נושא מידע למימוש זכויותיו, בין אם הפנייה התקבלה אצל הספק ובין אם אצל הלקוח, וזאת בכל מקרה שבו ללקוח אין אפשרות לבצע את הפעולה הנדרשת בעצמו באמצעות המערכת.

7.4.ככל שמתן הסיוע כאמור מחייב עבודה או פיתוח מיוחדים מצד הספק, מעבר לפעולות שהמערכת מאפשרת ללקוח לבצע בעצמו, יישא הלקוח בעלויות הסבירות הכרוכות בכך, בהתאם למחירון הספק.

8. אירועי אבטחת מידע

8.1.כל צד מתחייב לדווח באופן מיידי לצד השני, ובכל מקרה בהקדם האפשרי ממועד היוודע לו, על כל אירוע אבטחה חמור שאירע אצלו או באחריותו בקשר עם המידע המורשה, ובכפוף לחוק שירות מידע פיננסי, התשפ"ב–2021, ככל שהוא חל.

8.2.ההודעה תכלול, לכל הפחות, את המידע הקיים אצל הספק באותה עת, ובכלל זה: תיאור האירוע, מועד גילויו, סוגי המידע והמספר המשוער של נושאי המידע המעורבים, תיאור ההשלכות האפשריות של האירוע, והאמצעים שננקטו ושבכוונת הספק לנקוט לטיפול באירוע ולצמצום נזקיו. הספק יעדכן את הלקוח במידע נוסף ככל שיתקבל.

8.3.האחריות לדיווח לרשות להגנת הפרטיות ולנושאי המידע, ככל שנדרש לפי דין, חלה על הלקוח כבעל השליטה. הספק ישתף פעולה עם הלקוח ויעביר לו את המידע הנדרש לו לצורך הדיווח.

8.4.במקרה של אירוע אבטחת מידע, הספק מתחייב לספק מענה מיטבי והולם, כך שזמן החזרה לכשירות וזמינות המידע יהיה המהיר ביותר, בהתאם לאמנת השירות ("SLA") שהוגדרה בין הצדדים, ככל שהוגדרה.

8.5.הספק יתעד אירועי אבטחת מידע, ככל האפשר באמצעות רישום אוטומטי ביומן (Log), ויפיק מהם לקחים לשיפור אמצעי האבטחה.

8.6.הספק לא יגלה, לא יפרסם ולא ידווח על אירוע אבטחת מידע הנוגע למידע של הלקוח ללא הסכמת הלקוח מראש ובכתב, אלא אם הדבר נדרש לפי הוראות הדין החל, לרבות חוק שירות מידע פיננסי, התשפ"ב–2021.

8.7.ככל שעל פי ייעוץ משפטי שקיבל הספק חלה עליו חובת דיווח או יידוע של גורם כלשהו שאינו הלקוח בדבר אירוע אבטחת מידע, ימסור על כך הספק הודעה ללקוח מראש, ככל שהדבר אפשרי לפי דין, ויפעל בתיאום ובשיתוף פעולה עם הלקוח בנוגע להיקף ולאופן הגילוי או הדיווח.

9. אחסון, גיבוי, השבה ומחיקת מידע

אחסון וגיבוי

9.1.הספק יישם נהלי גיבוי ושחזור תקופתיים, כמפורט בנספח ב'.

9.2.המידע המורשה, לרבות עותקי הגיבוי, מאוחסן ומעובד בשירותי הענן של Microsoft Azure, במרכזי נתונים הממוקמים במדינות החברות באיחוד האירופי. הלקוח מאשר את העברת המידע ואחסונו כאמור. העברה זו נעשית בהתאם לתקנות הגנת הפרטיות (העברת מידע אל מאגרי מידע שמחוץ לגבולות המדינה), התשס"א–2001, בשים לב לרמת ההגנה על מידע אישי החלה במדינות אלה, ובכפוף להתחייבויות Microsoft, כספק משנה, לאבטחת המידע ולאי-העברתו לצד שלישי אלא בהתאם לדין. העברת מידע למדינה אחרת תיעשה רק בהתאם לתקנות האמורות ולהוראות כל דין, ותובא לידיעת הלקוח מראש.

מחיקת מידע במהלך ההתקשרות

9.3.ככל שבמהלך תקופת ההתקשרות יורה הלקוח לספק בכתב על מחיקת המידע המורשה או חלק ממנו, יפעל הספק בהתאם להוראת הלקוח, בכפוף לחובות שמירת מידע החלות על מי מהצדדים לפי דין ובכפוף לאמור בסעיף 9.7 לעניין עותקי הגיבוי. ככל שנדרשת עבודה או פיתוח מיוחדים לצורך המחיקה, יישא הלקוח בעלויות הסבירות הכרוכות בכך.

השבת המידע ומחיקתו בסיום ההתקשרות

9.4.עם סיום ההתקשרות, יושב המידע ללקוח אך ורק בכפוף לדרישה מפורשת בכתב מטעמו שתוגש בתוך 90 ימים ממועד סיום ההתקשרות, ובתנאי שהשבת המידע מותרת לפי הוראות כל דין. ההשבה תיעשה בפורמט דיגיטלי מקובל שהמערכת מאפשרת, או באמצעות כלי הייצוא הזמינים ללקוח במערכת.

9.5.בתום 180 ימים ממועד סיום ההתקשרות, יימחק המידע המורשה ממערכות הספק הפעילות, כך שלמעט עותקי הגיבוי כמפורט בסעיף 9.7 להלן, לא יישאר ברשות הספק מידע של הלקוח. לאחר מחיקה כאמור, הספק לא יהיה מחויב לשחזר, להפיק או להשיב את המידע ללקוח, לרבות מתוך עותקי הגיבוי. על כן, באחריותו הבלעדית של הלקוח לוודא את ייצוא המידע, קבלתו ושמירתו, טרם מחיקתו ממערכות הספק.

9.6.מובהר כי חובות שמירת פנקסים ורשומות החלות על הלקוח לפי דיני המס או לפי כל דין אחר חלות על הלקוח בלבד, והספק אינו אחראי לשמירת המידע עבור הלקוח לאחר המועדים הקבועים בסעיף זה.

9.7.עותקי גיבוי – המידע המורשה מאוחסן בבסיס נתונים מרכזי, המגובה כיחידה אחת, ועותקי הגיבוי נשמרים לתקופה של עד 7 שנים. לפיכך, מחיקת מידע לפי סעיף 9.3 או לפי סעיף 9.5 תבוצע בעותק הפעיל של בסיס הנתונים, ואילו המידע ימשיך להיות קיים בעותקי הגיבוי שנוצרו לפני מועד המחיקה, עד לתום תקופת שמירתם, שכן לא ניתן מבחינה טכנית למחוק מהם באופן סלקטיבי את המידע של לקוח מסוים. במהלך תקופה זו:

1. עותקי הגיבוי ימשיכו להיות מוגנים בהתאם להוראות הסכם זה ולאמצעי האבטחה המפורטים בנספח ב';
2. הספק לא יעשה כל שימוש במידע של הלקוח המצוי בעותקי הגיבוי, ולא ישחזר אותו, אלא לצורך שחזור המערכת במקרה של תקלה, אירוע אבטחת מידע או אסון, או ככל שהדבר נדרש לפי דין;
3. ככל שבסיס הנתונים ישוחזר מעותק גיבוי כאמור, ימחק הספק מהעותק המשוחזר את המידע שנמחק קודם לכן.

בתום תקופת שמירתם, יימחקו עותקי הגיבוי במלואם.

9.8.על אף האמור לעיל, ככל שקיימת הוראה בדין המחייבת את הספק לשמור מידע של הלקוח גם לאחר סיום ההתקשרות, רשאי הספק לשמור את המידע, בתנאי שימשיך לקיים ביחס אליו את התחייבויותיו לפי הסכם זה כל עוד המידע מצוי אצלו. עם תום התקופה הקבועה בדין, ימחק הספק את המידע שנותר בחזקתו.

9.9.לבקשת הלקוח בכתב, ימסור הספק ללקוח אישור על ביצוע המחיקה מהעותק הפעיל של בסיס הנתונים.

10. דיווח ובקרה

10.1.הספק ימסור ללקוח, אחת לשנה, דיווח בכתב על אופן ביצוע חובותיו לפי תקנות אבטחת מידע ולפי הסכם זה. הדיווח יימסר על פי דרישת הלקוח בכתב, ויכול שייעשה באמצעות הצהרת עמידה, תעודות הסמכה בתוקף או סיכום ממצאי ביקורת, לפי שיקול דעת הספק.

10.2.הלקוח רשאי, בתיאום מראש ובהודעה של 30 ימים לפחות, לבצע בעצמו או באמצעות מבקר מטעמו, המחויב בסודיות, בקרה סבירה על עמידת הספק בהסכם זה, לא יותר מפעם אחת בשנה ובאופן שלא יפגע בפעילותו השוטפת של הספק ובסודיות המידע של לקוחותיו האחרים. עלויות הבקרה יחולו על הלקוח.

10.3.הספק ישתף פעולה, באופן סביר, עם כל בקשה של הלקוח או של רשות מוסמכת הנדרשת לצורך הוכחת עמידת הלקוח בחובותיו לפי דיני הגנת הפרטיות, ככל שהיא נוגעת לשירותים.

11. אחריות, תוקף ושונות

11.1.אחריות הספק על פי הסכם זה הינה כלפי הלקוח בלבד ולא כלפי נושאי המידע מטעמו, ואין בהסכם זה כדי להקנות זכויות כלשהן לצדדים שלישיים כלפי הספק.

11.2.אחריות הספק בקשר עם הסכם זה כפופה להגבלות האחריות הקבועות בתנאי השימוש, אלא אם נקבע אחרת בדין באופן שאינו ניתן להתניה.

11.3.הסכם זה יעמוד בתוקף כל עוד ההסכם העיקרי בתוקף, או כל עוד נותר מידע של הלקוח בחזקת הספק, המאוחר מביניהם. הוראות הסכם זה שמטבען נועדו לחול לאחר סיום ההתקשרות, לרבות חובות הסודיות, יוסיפו לחול גם לאחר סיומה.

11.4.הספק רשאי לעדכן הסכם זה מעת לעת, לרבות לשם התאמתו לשינויים בדין, בהנחיות הרשות להגנת הפרטיות או במערכת. הנוסח המחייב הוא הנוסח המפורסם באתר הספק, ומועד העדכון האחרון יצוין בראשו. שינוי מהותי המפחית מההגנה על המידע יובא לידיעת הלקוח מראש.

11.5.במקרה שהוראה כלשהי בהסכם זה תיחשב כחסרת תוקף, בלתי חוקית או בלתי ניתנת לאכיפה על ידי בית משפט מוסמך, יתר הוראות ההסכם יישארו בתוקף מלא, והוראה כאמור תיחשב כאילו שונתה ככל הנחוץ כדי להפוך אותה לחוקית ואכיפה, תוך שמירה מרבית על כוונת הצדדים.

11.6.על הסכם זה יחולו דיני מדינת ישראל, וסמכות השיפוט הבלעדית בכל עניין הנוגע לו תהא כקבוע בתנאי השימוש.

נספח א' – פרטי עיבוד המידע

נספח זה מפרט את הנושאים הנדרשים לפי תקנה 15(ב) לתקנות אבטחת מידע.

נספח ב' – אמצעי אבטחת מידע

ניהול אבטחת מידע

• הספק מפעיל מערכת לניהול אבטחת מידע בהתאם לתקן ISO 27001.
• הספק מקיים נהלים ומדיניות פנימיים בנושאי אבטחת מידע, הרשאות, גיבויים, טיפול באירועי אבטחה ושימוש במידע, ובוחן אותם מעת לעת.
• מונה גורם אחראי לאבטחת המידע אצל הספק.

בקרת גישה והרשאות

• הגישה למידע ניתנת לעובדים מורשים בלבד, בהתאם לעקרון הצורך לדעת והרשאה מינימלית (Least Privilege).
• לכל משתמש מוקצה חשבון משתמש אישי; לא נעשה שימוש בחשבונות משותפים.
• מיושמת מדיניות סיסמאות, והרשאות הגישה נבחנות ומעודכנות מעת לעת.
• בממשקי ניהול ובגישה למערכות התשתית מיושם אימות רב-שלבי (MFA).
• גישה למערכות פנימיות ולשירותים רגישים מתבצעת באמצעות חיבור מאובטח, לרבות VPN, בהתאם לצורך ולארכיטקטורת המערכת.
• בעת סיום העסקה או שינוי תפקיד, הרשאות הגישה מבוטלות או מעודכנות ללא דיחוי.

תמיכה מרחוק

• תמיכה מרחוק מבוצעת באמצעות כלים ייעודיים ומוכרים, בערוץ מוצפן.

אבטחת תחנות העבודה של הספק

• תחנות העבודה של עובדי הספק מוגנות באמצעות אנטי-וירוס ו-EDR, חומת אש, הצפנת דיסק מלא ועדכוני אבטחה שוטפים, ומנוהלות באופן מרכזי.
• תחנות העבודה מוגדרות לנעילת מסך אוטומטית.
• השימוש בהתקני אחסון ניידים מוגבל ומבוקר, בהתאם לצורך העסקי.

אבטחת סביבת הענן

• המערכת מופעלת בשירותי פלטפורמה מנוהלים (PaaS) של Microsoft Azure, לרבות Azure App Service ושירותי בסיס נתונים מנוהלים, ואינה מבוססת על שרתים וירטואליים (VM) שהספק מנהל.
• במסגרת מודל האחריות המשותפת, אבטחת התשתית הפיזית, החומרה, מערכות ההפעלה ועדכוני האבטחה של שכבת הפלטפורמה חלה על Microsoft. הספק אחראי לתצורת השירותים, לקוד היישום, להרשאות ולמידע.
• הגישה למערכת מתבצעת בפרוטוקול HTTPS בלבד, בגרסאות TLS מאובטחות.
• הגישה לבסיסי הנתונים ולשירותי ניהול הסודות מוגבלת ברמת הרשת (כגון חומת אש, הגבלת כתובות או Private Endpoint) לשירותי היישום המורשים בלבד.
• סודות, מפתחות ותעודות נשמרים בשירות מאובטח לניהול סודות, כגון Azure Key Vault, והגישה אליהם נעשית באמצעות זהויות מנוהלות (Managed Identity), ללא שמירת סיסמאות בקוד.
• הגישה לממשק הניהול של Azure מוגבלת למורשים, מחייבת אימות רב-שלבי (MFA) ומנוהלת לפי תפקידים (RBAC).
• נעשה שימוש בכלי הניטור והרישום של Azure לניטור זמינות, פעילות חריגה ויומני גישה.

אבטחה פיזית

• המערכת מאוחסנת במרכזי הנתונים של Microsoft Azure באיחוד האירופי, המוגנים באמצעי אבטחה פיזית ובקרת כניסה ומוסמכים לתקנים בינלאומיים, כגון ISO 27001.

הצפנה והגנת מידע

• מידע המועבר ברשת מוצפן בפרוטוקולי תקשורת מאובטחים (TLS).
• בסיסי נתונים הכוללים מידע רגיש מוגנים באמצעות מנגנוני הצפנה, כגון TDE.
• מפתחות ההצפנה מנוהלים באמצעים מאובטחים ובהתאם לנהלי הספק.

פיתוח מאובטח

• פעולות פיתוח ועדכון מבוצעות לפי עקרונות פיתוח מאובטח, בהפרדה בין סביבות הפיתוח, הבדיקות והייצור.
• בסביבות הפיתוח והבדיקות לא נעשה שימוש במידע אמיתי של לקוחות, אלא אם הדבר הכרחי ובוצע בו מיסוך או הסרת פרטים מזהים.

גיבוי ושחזור

• הספק מבצע גיבויים של בסיס הנתונים בהתאם למדיניות גיבויים פנימית, ועותקי הגיבוי נשמרים לתקופה של עד 7 שנים.
• הגיבויים מוצפנים, נשמרים באופן מאובטח, בנפרד מסביבת הייצור ובמרכזי נתונים של Azure באיחוד האירופי, והגישה אליהם מוגבלת.
• מבוצעות בדיקות תקופתיות ליכולת שחזור המידע.

תיעוד, ניטור ובקרה

• מתבצע רישום ותיעוד של גישה למערכות ושל פעולות משתמשים מורשים, ככל האפשר באמצעות רישום אוטומטי.
• הספק מנהל תיעוד של אירועי אבטחת מידע ומבצע ניטור של המערכות והתשתיות.
• מבוצעים מבדקי חדירה תקופתיים, ופערים שעולים מהם מטופלים.

עובדים ומודעות

• עובדי הספק בעלי גישה למידע חותמים על התחייבות לשמירת סודיות.
• כלל העובדים עוברים הדרכה בנושא פרטיות ואבטחת מידע בעת קליטתם ובאופן תקופתי.

ספקי משנה

• ספקי משנה בעלי גישה למידע מחויבים בהתחייבויות סודיות ואבטחת מידע מתאימות, כמפורט בסעיף 5 להסכם.

טיפול באירועי אבטחת מידע

• הספק פועל לפי נוהל לזיהוי, טיפול, תיעוד ודיווח של אירועי אבטחת מידע, כמפורט בסעיף 8 להסכם.

שירותי ה-SaaS

• הגישה למערכת מוגבלת באמצעות מנגנוני הזדהות והרשאות, ומאפשרת ללקוח להגדיר משתמשים והרשאות לכל משתמש מטעמו.
• המידע של כל לקוח מופרד לוגית מהמידע של לקוחות אחרים.
• הספק מבצע פעולות תחזוקה, ניטור ואבטחה שוטפות בהתאם לנהליו.